LO STATO DELLA SICUREZZA INFORMATICA 2025

13° Annuale Edizione

Principali minacce, tendenze emergenti e raccomandazioni dei CISO

INDICE

02 EVENTI DI SICUREZZA INFORMATICA 2024

03 TENDENZE DELLA CYBER SECURITY

01 INTRODUZIONE

05 VULNERABILITÀ GLOBALI AD ALTO PROFILO

06 PROSPETTIVA DI RISPOSTA AGLI INCIDENTI

04 ANALISI GLOBALE

07 PREVISIONI DEL SETTORE PER IL 2025

08 RACCOMANDAZIONI DEI CISO

INTRODUZIONE LO STATO DELLA SICUREZZA INFORMATICA 2025

00 11

MAYA HOROWITZ

Ricerca VP

INTRODUZIONE Sono lieto di presentare la 13a edizione annuale di State of Cyber Security di Check Point. I progressi del 2024 come l'intelligenza artificiale e l'infrastruttura cloud hanno migliorato la nostra quotidianità, ma hanno anche avvantaggiato i criminali informatici. Questo rapporto mette in luce l'impatto reale di questi cambiamenti, offrendo approfondimenti e raccomandazioni per il 2025 da e per i CISO.

Con oltre un decennio di analisi, le intuizioni di Check Point Research provengono da fonti di dati senza precedenti che nessun'altra azienda combina. Raccogliamo i dati di telemetria degli attacchi da rete, cloud, e-mail, endpoint e dispositivi mobili tra i clienti aziendali e PMI. Incorporando la risposta agli incidenti, il dark web e i risultati open source, otteniamo una panoramica in più di 170 paesi per rivelare le tendenze globali e regionali.

Il rapporto sullo stato della sicurezza informatica 2025 evidenzia le principali minacce, tra cui:

• Le tattiche dell'intelligenza artificiale che hanno influenzato un terzo delle elezioni globali attraverso la disinformazione.

• Un'impennata del 58% degli attacchi infostealer, con particolare attenzione all'accesso aziendale.

• Gli attacchi ransomware passano dalla crittografia all'estorsione dell'esfiltrazione dei dati, con la sanità che è ora il secondo settore più preso di mira.

• Le reti ibride che consentono il movimento laterale tra on-premise e cloud.

• Le catene di approvvigionamento hardware e software hanno registrato il più alto picco di attacchi

Voglio sottolineare l'impegno di Check Point per la sicurezza dei clienti. Nel 2024, i dispositivi edge sono stati sfruttati per accedere alla rete aziendale attraverso credenziali trapelate e vulnerabilità. Una delle tante vulnerabilità zero-day divulgate era in un prodotto Check Point : la vulnerabilità VPN Information Disclosure (CVE-2024-24919). Lo abbiamo prontamente rivelato, rilasciato una patch nel giro di una giornata e supportato in modo proattivo i pochi clienti potenzialmente interessati con la risposta e la mitigazione degli incidenti. La dedizione alla protezione dei clienti fa parte nel nostro DNA.

Sebbene Check Point miri a proteggere i clienti con la ricerca, speriamo che questo rapporto soddisfi anche le esigenze del settore in generale, per unire le forze e condividere le conoscenze. A nome del gruppo Check Point, spero che questo rapporto sia utile ai professionisti della sicurezza e ai dirigenti di livello C.

Buona lettura!

Maya Horowitz, Vicepresidente Ricerca

L'ascesa degli infostealer

TENDENZE DELLA CYBER SECURITY 03

EVENTI DI SICUREZZA INFORMATICA 202402

INTRODUZIONE01

PREVISIONI DEL SETTORE PER IL 202507

RACCOMANDAZIONI DEI CISO 08

ANALISI GLOBALE04

VULNERABILITÀ DI ALTO PROFILO05

PROSPETTIVA DI RISPOSTA AGLI INCIDENTI06

Guerre cibernetiche Edizione 2024

L'ecosistema del ransomware

Complessità del cloud

Dispositivi EDGE e ORB

LO STATO DELLA SICUREZZA INFORMATICA 20254

EVENTI DI SICUREZZA INFORMATICA 2024

00 22 LO STATO DELLA SICUREZZA INFORMATICA 2025

Dopo aver rivelato le due vulnerabilità zero-day, le VPN Connect Secure hanno subito uno sfruttamento di massa. Migliaia di dispositivi VPN sono stati compromessi, con ripercussioni su vittime come la statunitense Cyber security and Infrastructure Security Agency (CISA).

Check Point Research ha scoperto una truffa NFT rivolta ai possessori di oltre 100 progetti noti. I truffatori inviano airdrop apparentemente legittimi che si collegano a siti web fraudolenti. Le vittime vengono indotte con l'inganno a collegare i lori portafogli, concedendo agli aggressori l'accesso ai loro fondi.

Microsoft ha segnalato un attacco da parte del gruppo russo Midnight Blizzard (Nobelium), che ha utilizzato un attacco di password spray per compromettere gli account di posta elettronica aziendali, compresi quelli dei dirigenti, della sicurezza informatica e del personale legale.

CheckPoint Harmony Endpoint e Threat Emulation proteggono da questa minaccia (APT.Win.APT29; APT.Wins.Nobelium)

HealthEC LLC ha subito una violazione dei dati che ha colpito 4,5 milioni di persone, compromettendo nomi, indirizzi, data di nascita, codice fiscale, informazioni mediche e di fatturazione e dati dell'assicurazione sanitaria.

Il gruppo di ransomware ALPHV ha attaccato la filiale di UnitedHealth Group, rubando sei terabyte di dati. Le cliniche e gli ospedali militari statunitensi hanno subito interruzioni in tutto il mondo, rendendo necessari processi di prescrizione manuali.

Check Point Harmony Endpoint e Threat Emulation proteggono da questa minaccia (Ransomware.Wins. BlackCat.ta.*; Ransomware.Win.BlackCat)

Cutout.Pro, un servizio di editing di foto e video basato sull'intelligenza artificiale, ha subito una violazione dei dati che ha esposto le informazioni personali di 20 milioni di utenti, inclusi indirizzi e-mail, password con hash e indirizzi IP.

Il gruppo cinese APT Earth, Krahang, ha preso di mira 70 enti governativi in tutto il mondo in una campagna di spionaggio informatico, attiva dall'inizio del 2022, che sfrutta le vulnerabilità nei server connessi a internet e tattiche di spear-phishing.

Check Point Research ha monitorato l'autore di minacce Magnet Goblin, spinto da interessi finanziari, che ha sfruttato le vulnerabilità one-daynei server come Ivanti Connect Secure VPN, Magento e Qlik Sense. L'attore ha implementato una nuova versione Linux di NerbianRAT e WARPWIRE JavaScript credential stealer, dimostrando al contempo una rapida adozione degli exploit.

Check Point IPS Emulation e Harmony Endpoint offrono protezione contro questa minaccia (RAT_Linux_Nerbian_*)

Sfruttando una vulnerabilità di Fortinet, gli hacker cinesi sostenuti dallo stato hanno preso di mira una rete di ricerca militare non classificata in un'operazione di spionaggio contro il Ministero della Difesa olandese, segnando la prima attribuzione pubblica dei Paesi Bassi di un attacco informatico alla Cina.

È stata identificata una vulnerabilità di elevata gravità nel motore JavaScript V8 di Google Chrome, CVE-2024-0517. Il difetto potrebbe permettere a un malintenzionato da remoto di sfruttare la corruzione dell'heap attraverso una pagina HTML predismessa. Da allora Google ha corretto la vulnerabilità.

Check Point Harmony IPS protegge contro questa minaccia (Google Chrome Out of Bounds Write (CVE-2024-0517))

Check Point Research ha scoperto una vulnerabilità critica di Esecuzione di Codice da Remoto (RCE) in Microsoft Outlook, soprannominata #MonikerLink (CVE-2024-21413). #MonikerLink permette ai malintenzionati da remoto di distribuire un collegamento che bypassa il Protocollo di Visualizzazione Protetta, causando potenzialmente la perdita di credenziali e delle funzionalità RCE. Da allora Microsoft ha corretto la vulnerabilità.

Il pannello Check Point IPS protegge da questa minaccia (Microsoft Outlook Malicious Moniker Link Remote Code Execution (CVE-2024-21413)

Il Dipartimento di Giustizia degli Stati Uniti ha smantellato la botnet KB, utilizzata dall'APT Volt Typhoon, collegata alla Cina, per nascondere la propria identità e prendere di mira le infrastrutture essenziali negli Stati Uniti. Il gruppo ha sfruttato i dispositivi Cisco e NetGear SOHO vulnerabili a fine vita per l'accesso iniziale. In risposta, la CISA e l'FBI hanno pubblicato una guida per i fornitori sulla protezione dei router SOHO.

Check Point Threat Emulation protegge da questa minaccia (APT.Wins.VoltTyphoon; InfoStealer.Wins.VoltTyphoon)

GLI EVENTI DI SICUREZZA INFORMATICA CHE HANNO SEGNATO IL 2024

FEB MARGEN T1

L'ascesa degli infostealer

TENDENZE DELLA CYBER SECURITY 03

EVENTI DI SICUREZZA INFORMATICA 202402

INTRODUZIONE01

PREVISIONI DEL SETTORE PER IL 202507

RACCOMANDAZIONI DEI CISO 08

ANALISI GLOBALE04

VULNERABILITÀ DI ALTO PROFILO05

PROSPETTIVA DI RISPOSTA AGLI INCIDENTI06

Guerre cibernetiche Edizione 2024

L'ecosistema del ransomware

Complessità del cloud

Dispositivi edge e ORB

LO STATO DELLA SICUREZZA INFORMATICA 20256

https://blog.checkpoint.com/security/check-point-research-unfolds-navigating-the-deceptive-waters-unmasking-a-sophisticated-ongoing-nft-airdrop-scam/ https://research.checkpoint.com/2024/magnet-goblin-targets-publicly-facing-servers-using-1-day-vulnerabilities/ https://research.checkpoint.com/2024/magnet-goblin-targets-publicly-facing-servers-using-1-day-vulnerabilities/ https://research.checkpoint.com/2024/the-risks-of-the-monikerlink-bug-in-microsoft-outlook-and-the-big-picture/

I ricercatori di Check Point hanno rilevato una campagna di typosquatting composta da oltre 500 pacchetti malevoli distribuiti su PyPI (Python Package Index), che comportano rischi di installazione di malware per furto di PII.

Check Point CloudGuard Code Security protegge da questa minaccia.

Il gruppo di hacktivisti di lingua russa RGB-TEAM ha violato il sito web del procuratore generale russo e ha fatto trapelare su Telegram 100.000 casellari giudiziari dal 1993 al 2022. I dati includevano dettagli su reati come furto e traffico di droga.

Una violazione dei dati di AT&T ha messo in luce le informazioni personali di circa 51 milioni di clienti precedenti e attuali, tra cui nomi completi, indirizzi di residenza, indirizzi e-mail, numeri di telefono, codici fiscali, numeri di conto AT&T e codici di accesso AT&T.

Check Point Research segnala un'ondata di attacchi scam in cui gli aggressori utilizzano vari metodi, tra cui codici QR malevoli ed e-mail phishing, per ottenere le credenziali dei contribuenti statunitensi per rubare i rimborsi dell'IRS.

Gli Stati Uniti e il Regno Unito hanno annunciato un'incriminazione penale e sanzioni contro APT31, un gruppo di hacker cinesi, per il loro ruolo in presunti attacchi contro funzionari governativi statunitensi e britannici. Check Point Research ha esplorato l'uso da parte del gruppo delle vulnerabilità zero-day.

GLI EVENTI DI SICUREZZA INFORMATICA CHE HANNO SEGNATO IL 2024

MAG GIUGNOAPR T2

Check Point Research ha scoperto una campagna di spionaggio informatico che prende di mira organizzazioni governative africane e caraibiche. Attribuita all'attore di minacce cinese Sharp Dragon, la campagna adotta Cobalt Strike Beacon come payload, abilitando funzionalità backdoor come la comunicazione C2 e l'esecuzione di comandi, riducendo al minimo l'esposizione dei loro strumenti personalizzati. Questo approccio suggerisce una comprensione più approfondita dei loro obiettivi.

La Repubblica Ceca, la Germania e la NATO hanno rivelato una campagna di spionaggio che ha preso di mira le istituzioni ceche attraverso una vulnerabilità di Microsoft Outlook attribuita al gruppo affiliato allo stato russo, APT28, che ha condotto un'opera di spionaggio a lungo termine in tutta Europa.

Una violazione dei dati di Dell ha colpito 49 milioni di clienti dopo che il loro database è stato inserito in un forum di hacking. I dati esposti comprendono nomi completi, indirizzi di residenza e informazioni sugli ordini.

Una violazione dei dati ha svelato 500 GB di dati biometrici provenienti dall'India, colpendo la polizia, il personale militare e i lavoratori pubblici durante le elezioni. La fuga di notizie ha coinvolto database non protetti di ThoughtGreen Technologies e Timing Technologies, tra cui impronte digitali e scansioni facciali. Le informazioni potrebbero essere sfruttate per manipolare i sistemi biometrici nelle elezioni indiane.

I dati di Ticketmaster e Santander Bank sono stati messi in vendita su un forum di criminalità informatica da ShinyHunters, una tristemente nota banda informatica. La violazione espone potenzialmente le informazioni personali di milioni di clienti. I rapporti indicano che l'autore della minaccia ha ottenuto l'accesso a Ticketmaster e Santander utilizzando le credenziali rubate di un dipendente di Snowflake, una grande società di cloud storage.

L'exchange di criptovalute giapponese DMM Bitcoin ha confermato una violazione dei dati che ha comportato la perdita di 308 milioni di dollari in BTC, una delle più grandi rapine di criptovalute.

Water Sigbin 8220 Gang, collegata alla Cina, ha sfruttato le vulnerabilità di Oracle WebLogic (CVE-2017-3506 e CVE-2023- 21839) per distribuire malware per il mining di criptovalute utilizzando script PowerShell con codifica URL esadecimale e tecniche di esecuzione senza file.

Check Point IPS protegge da questa minaccia (Oracle WebLogic WLS Security Component Remote Code Execution (CVE-2017-10271), Oracle WebLogic Server Improper Access Control (CVE-2023-21839))

Check Point Research ha analizzato Rafel RAT, uno strumento open source di amministrazione remota per lo spionaggio e gli attacchi di ransomware su dispositivi Android. Il malware ha preso di mira organizzazioni di alto profilo, soprattutto nel settore militare, con vittime provenienti principalmente da Stati Uniti, Cina e Indonesia. Consente l'esfiltrazione dei dati, la sorveglianza e il controllo completo del dispositivo, con conseguenti gravi violazioni della privacy e della sicurezza.

Harmony Mobile di Check Point protegge da questa minaccia.

L'ascesa degli infostealer

TENDENZE DELLA CYBER SECURITY 03

EVENTI DI SICUREZZA INFORMATICA 202402

INTRODUZIONE01

PREVISIONI DEL SETTORE PER IL 202507

RACCOMANDAZIONI DEI CISO 08

ANALISI GLOBALE04

VULNERABILITÀ DI ALTO PROFILO05

PROSPETTIVA DI RISPOSTA AGLI INCIDENTI06

Guerre cibernetiche Edizione 2024

L'ecosistema del ransomware

Complessità del cloud

Dispositivi edge e ORB

LO STATO DELLA SICUREZZA INFORMATICA 20257

https://blog.checkpoint.com/securing-the-cloud/pypi-inundated-by-malicious-typosquatting-campaign/ https://blog.checkpoint.com/securing-the-cloud/pypi-inundated-by-malicious-typosquatting-campaign/ https://blog.checkpoint.com/security/beware-the-tax-scam-tsunami-unmasking-qr-code-schemes-bogus-refunds-and-ai-imposters/ https://www.reuters.com/technology/cybersecurity/apt31-chinese-hacking-group-behind-global-cyberespionage-campaign-2024-03-26/ https://research.checkpoint.com/2024/sharp-dragon-expands-towards-africa-and-the-caribbean/ https://research.checkpoint.com/2024/sharp-dragon-expands-towards-africa-and-the-caribbean/ https://research.checkpoint.com/2024/rafel-rat-android-malware-from-espionage-to-ransomware-operations/

Check Point Research ha rilevato che oltre 20.000 telecamere e router Ubiquiti sono vulnerabili (CVE-2017-0938) agli attacchi di amplificazione e ai rischi per la privacy a causa delle porte UDP 10001 e 7004 esposte. Queste porte consentono l'accesso non autorizzato alle informazioni del dispositivo, che potrebbero essere sfruttate per attacchi tecnici e di ingegneria sociale.

Check Point Research ha rilevato un aumento delle vulnerabilità SSTI (Server-Side Template Injection) che consentono agli aggressori di eseguire comandi e accedere a dati sensibili. Casi degni di nota riguardano Atlassian Confluence e CrushFTP. Queste vulnerabilità comportano rischi significativi, come il furto di dati e danni alla reputazione, che si riflettono in un aumento dei CVE critici

Check Point IPS protegge da questa minaccia (Python Server-Side Template Injection, Java Server-Side Template Injection, PHP Server-Side Template Injection, Ruby Server-Side Template Injection, Node.js Server-Side Template Injection, Expression Language Server-Side Template Injection)

In seguito alle elezioni presidenziali venezuelane di luglio, Check Point Research ha rivelato che i gruppi di hacktivisti Anonymous Venezuela e Cyber Hunters hanno lanciato attacchi DDoS e tentativi di hacking contro il governo, spinti da accuse di frode elettorale legate all'amministrazione di Nicolás Maduro.

Harmony Endpoint e Threat Emulation proteggono da questa minaccia (InfoStealer.Wins.PhemedroneStealer.*)

Check Point Research identificato la rete Stargazers Ghost, composta da 3.000 repository GitHub che distribuiscono malware e link dannosi attraverso schemi phishing utilizzando un modello Distribution as a Service (DaaS). La rete ha condiviso varie tipologie di malware, come Atlantida Stealer e RedLine, e ha generato profitti notevoli.

Check Point Harmony Endpoint e Threat Emulation proteggono da questa minaccia (InfoStealer.Win. Atlantida.*, Trojan.WIN32.AtlantidaStealer*, InfoStealer. Wins.Lumma.ta*, InfoStealer.Win.Lumma*, Injector. Win.RunPE.C, Loader.Wins.GoBitLoader.A, Trojan.Wins. Imphash.taim.LV, InfoStealer.Wins.Redline.ta.BY)

RockYou2024, una fuga di quasi 10 miliardi di password in chiaro da molteplici violazioni dei dati, pone rischi significativi per il credential stuffing e gli attacchi di brute force che potrebbero interessare vari account e servizi online.

45 milioni di documenti di Rite Aid sono stati rubati in un attacco ransomware, presumibilmente includendo le informazioni identificative dei clienti e i numeri dei premi di Rite Aid. Il gruppo ransomware RansomHub ha rivendicato la responsabilità e ha minacciato di far trapelare i dati rubati.

Check Point Threat Emulation e Harmony Endpoint proteggono da questa minaccia (ransomware. Win. RansomHub; ransomware. Wins.RansomHub.ta.*)

L'app per la sicurezza della posizione Life360 e lo strumento di gestione dei progetti Trello hanno subito violazioni dei dati a causa di vulnerabilità delle API. Le informazioni personali dei 442.519 clienti di Life360 sono state rese pubbliche, mentre 21,1 GB di dati di Trello sono trapelati. L'attore della minaccia "emo" ha rivendicato la responsabilità e ha condiviso i dati rubati sul dark web.

GLI EVENTI DI SICUREZZA INFORMATICA CHE HANNO SEGNATO IL 2024

AGO SETTEMBRELUGLIO T3 93 GB di dati sensibili sono stati rubati dalla filiale di Montanna di Planned Parenthood dal gruppo ransomware RansomHub, colpendo principalmente i sistemi IT amministrativi dell'organizzazione.

Check Point Threat Emulation e Harmony Endpoint proteggono da questa minaccia (ransomware. Win. RansomHub; ransomware. Wins.RansomHub.ta.*)

Check Point Research ha rilevato una campagna informatica iraniana che prendeva di mira la rete governativa irachena utilizzando malware Veaty e Spearal. Le tecniche includono una backdoor IIS passiva, il tunneling DNS e la comunicazione C2 tramite e-mail compromesse, indicative di legami con il gruppo APT34. La campagna probabilmente utilizza l'ingegneria sociale per l'infezione iniziale e dispone di una sofisticata infrastruttura C2.

Check Point Threat Emulation e Harmony Endpoint proteggono da questa minaccia (APT. Wins.Oilrig.ta.B/C/D/E, APT. Win.OilRig.F, APT. Win.OilRig.WA.G, APT. Win.OilRig.H)

L'FBI, la CISA e la NSA riferiscono che l'unità russa GRU 29155 ha preso di mira l'Ucraina con deturpazione di siti web, furto di dati e malware WhisperGate, interrompendo i tentativi di aiuto. Hanno anche preso di mira settori a livello globale, tra cui governo, finanza, trasporti, energia e sanità.

Check Point Threat Emulation e Harmony Endpoint proteggono da questa minaccia (Trojan.Win.WhisperGate; Trojan.Wins.WhisperGate.ta.*; Trojan.Wins.WhisperGate)

Una vulnerabilità nell'app ChatGPT per macOS ha consentito agli aggressori di impiantare spyware persistente, SpAIware, nella memoria dell'app tramite iniezione indiretta di prompt, consentendo l'esfiltrazione continua di dati degli input degli utenti e delle future sessioni di chat. Da allora OpenAI ha risolto il problema.

L'ascesa degli infostealer

TENDENZE DELLA CYBER SECURITY 03

EVENTI DI SICUREZZA INFORMATICA 202402

INTRODUZIONE01

PREVISIONI DEL SETTORE PER IL 202507

RACCOMANDAZIONI DEI CISO 08

ANALISI GLOBALE04

VULNERABILITÀ DI ALTO PROFILO05

PROSPETTIVA DI RISPOSTA AGLI INCIDENTI06

Guerre cibernetiche Edizione 2024

L'ecosistema del ransomware

Complessità del cloud

Dispositivi edge e ORB

LO STATO DELLA SICUREZZA INFORMATICA 20258

https://blog.checkpoint.com/research/over-20000-ubiquiti-cameras-and-routers-are-vulnerable-to-amplification-attacks-and-privacy-risks/ https://blog.checkpoint.com/research/over-20000-ubiquiti-cameras-and-routers-are-vulnerable-to-amplification-attacks-and-privacy-risks/ https://research.checkpoint.com/2024/server-side-template-injection-transforming-web-applications-from-assets-to-liabilities/ https://research.checkpoint.com/2024/server-side-template-injection-transforming-web-applications-from-assets-to-liabilities/ https://research.checkpoint.com/2024/stargazers-ghost-network/ https://research.checkpoint.com/2024/iranian-malware-attacks-iraqi-government/ https://research.checkpoint.com/2024/iranian-malware-attacks-iraqi-government/

L'FBI, il Dipartimento del Tesoro statunitense e la Direzione Nazionale per la Sicurezza Informatica Israeliana (INCD) hanno emanato un avviso congiunto sulla sicurezza informatica, attribuendo al gruppo informatico itaniano Emennet Pasargad una campagna di phishing su larga scala che si finge l'INCD e prende di mira le organizzazioni israeliane. Check Point Researchha analizzato il malware, monitorando la sua evoluzione e l'apprendimento.

Check Point Threat Emulation e Harmony Endpoint proteggono da questa minaccia (Behavioral.Win. FakeChrome.B and Trojan.Wins.FakeUpdater.A).

Check Point Research ha monitorato una campagna di phishing su larga scala denominataCopyRh(ight)adamantys, che utilizza l'ultima versione del ladro Rhadamanthys (0.7). Questa campagna ha come obiettivo regioni come gli Stati Uniti, l'Europa, l'Asia orientale e il Sud America, adducendo come motivazione il diritto d'autore, spacciandosi per diverse aziende e personalizzando ogni email da diversi account Gmail.

Check Point Threat Emulation e Harmony Endpoint proteggono da questa minaccia (InfoStealer.Wins. Rhadamanthys.ta.V, InfoStealer.Wins.Rhadamanthys.* e InfoStealer.Wins.Rhadamanthys.*)

Check Point Research ha rintracciato l'autore della minaccia WIRTE, collegato alla Gaza Cybergang affiliata ad Hamas, che conduce attività di spionaggio contro entità dell'Autorità Palestinese, Giordania, Iraq, Egitto e Arabia Saudita e si è esteso agli attacchi senza precedenti collegati al malware SameCoin che hanno preso di mira le realtà israeliane nel 2024.

Check Point Threat Emulation e Harmony Endpoint proteggono da questa minaccia (APT.Wins.Wirte.ta.A/B/C/ D/E/F, ransom.win.honey e infoastealer.win.blackguard.d)

Check Point Research ha analizzato l'Operazione MiddleFloor,una campagna di disinformazione riguardante i settori del governo e dell'istruzione della Moldavia prima delle elezioni dell'ottobre 2024. Il gruppo filorusso Lying Pigeon utilizza email contraffatte per diffondere informazioni false sull'appartenenza all'UE, e nel frattempo raccoglie dati per potenziali attacchi malware

Una nuova piattaforma di phishing-as-a-service chiamata Mamba 2FA prende di mira gli attacchi di phishing avversari nel mezzo. Imita le pagine di login di Microsoft 365 e bypassa l'autincazione a più fattori, rubando le credenziali e i cookies inviati agli aggressori tramite un bot di Telegram.

L'FBI e la CISA indagano sulle violazioni messe in atto da Salt Typhoon, gruppo affiliato al governo cinese, ai danni di società di telecomunicazioni statunitensi, tra cui AT&T, Verizon e Lumen Technologies. Gli attacchi hanno preso di mira i sistemi di intercettazione e i dispositivi del presidente eletto Trump, dell'ex vicepresidente Harris e altri politici di spicco.

GLI EVENTI DI SICUREZZA INFORMATICA CHE HANNO SEGNATO IL 2024

NOV DICOTT T4 Check Point Research ha scoperto un modo alternativo disfruttare il motore Godot, una piattaforma di sviluppo di gioco, per eseguire il codice GDScript malevolo. La tecnica permette ai malintenzionati di distribuire malware su piattaforme come Windows, macOS, Linux, Android e iOS, eludendo il rilevamento dalla maggior parte degli antivirus. Il loader malevolo, "GodLoader", ha utilizzato questa tecnica e ha già infettato più di 17.000 macchine.

Check Point Harmony Endpoint e Threat Emulation proteggono da questa minaccia (Technique.win.GDscript.*, Dropper.Win.Godot.*)

Check Point Research ha analizzatola più recente variante del ransomware Akira, scritta in Rust, che preso di mira principalmente i server hypervisor bare metal ESXi all'inizio del 2024. Il rapporto ha mostrato come gli idiomi di Rust, il codice boilerplate e le strategie del compilatore siano stati utilizzati per creare un assemblaggio complesso.

Check Point Harmony Endpoint e Threat Emulation proteggono da questa minaccia (Ransomware_Linux_ Akira_C/D, Ransomware.Wins.Akira.G/H)

L'agenzia di intelligence ucraina HUR ha confermato un DDoS contro la russa Gazprombank, una delle maggiori banche della Russia, che mirava a interrompere le operazioni finanziarie relative agli sforzi bellici russi in Ucraina.

L'ascesa degli infostealer

TENDENZE DELLA CYBER SECURITY 03

EVENTI DI SICUREZZA INFORMATICA 202402

INTRODUZIONE01

PREVISIONI DEL SETTORE PER IL 202507

RACCOMANDAZIONI DEI CISO 08

ANALISI GLOBALE04

VULNERABILITÀ DI ALTO PROFILO05

PROSPETTIVA DI RISPOSTA AGLI INCIDENTI06

Guerre cibernetiche Edizione 2024

L'ecosistema del ransomware

Complessità del cloud

Dispositivi edge e ORB

LO STATO DELLA SICUREZZA INFORMATICA 20259

https://research.checkpoint.com/2024/wezrat-malware-deep-dive/ https://research.checkpoint.com/2024/massive-phishing-campaign-deploys-latest-rhadamanthys-version/ https://research.checkpoint.com/2024/hamas-affiliated-threat-actor-expands-to-disruptive-activity/ https://research.checkpoint.com/2024/disinformation-campaign-moldova/ https://research.checkpoint.com/2024/gaming-engines-an-undetected-playground-for-malware-loaders/ https://research.checkpoint.com/2024/gaming-engines-an-undetected-playground-for-malware-loaders/ https://research.checkpoint.com/2024/inside-akira-ransomwares-rust-experiment/ https://research.checkpoint.com/2024/inside-akira-ransomwares-rust-experiment/

TENDENZE DELLA CYBER SECURITY

00 33 LO STATO DELLA SICUREZZA INFORMATICA 2025

OPERAZIONI DI DISINFORMAZIONE E INFLUENZA Nel 2024 le campagne di disinformazione hanno raggiunto nuovi livelli di complessità, grazie all'integrazione dell'intelligenza artificiale con i modelli linguistici di grandi dimensioni (LLM). Queste operazioni si sono concentrate su eventi globali, con stati-nazione come Cina, Russia e Iran accusati di impiegare tattiche avanzate per manipolare l'opinione pubblica, minare la fiducia e interferire con le elezioni per destabilizzare i processi democratici.

Sulla base dei risultati di Check Point Research , l'intelligenza artificiale è stata utilizzata in almeno un terzo delle elezioni che si sono svolte in tutto il mondo tra settembre 2023 e febbraio 2024, sia dai candidati stessi sia potenzialmente da attori stranieri. Casi recenti dimostrano questo sviluppo, come il gruppo APT CopyCop, collegato alla Russia, che ha preso di mira le elezioni primarie statunitensi del giugno 2024 con segmenti di notizie inventati con ritratti deepfake di figure politiche. Distribuito attraverso X (precedentemente noto come Twitter) e Facebook, questo contenuto sfruttava gli algoritmi della piattaforma per indirizzare specifici dati demografici degli elettori. I bot generati dall'intelligenza artificiale hanno ulteriormente diffuso narrazioni divisive, presentandosi come veri e proprie parti di opinione per polarizzare l'elettorato.

Anche le campagne iraniane, spesso legate al Corpo delle Guardie Rivoluzionarie Islamiche (IRGC), hanno preso di mira le elezioni presidenziali degli Stati Uniti attaccando figure politiche di spicco in operazioni di "hack-and-leak". Anche giornalisti, attivisti e lobbisti sono stati presi di mira attraverso l'ingegneria sociale, l'impersonificazione, il phishing e malware per la raccolta delle credenziali. Queste operazioni hanno dimostrato la capacità dell'Iran di combinare la disinformazione con l'infiltrazione informatica per influenzare la percezione pubblica.

Nel frattempo, gli attori collegati alla Cina hanno utilizzato video deepfake generati dall'intelligenza artificiale che ritraggono false approvazioni e annunci di servizio pubblico fuorvianti. Questi video, ampiamente diffusi su piattaforme come X e TikTok, miravano a screditare i candidati e ad approfondire le divisioni partigiane. Inoltre, i post virali corredati da domande di sondaggio distorte sembravano ritrarre il sostegno per determinati candidati o prove inventate di frode, minando la fiducia nel processo elettorale.

GUERRE CIBERNETICHE EDIZIONE 2024 La comunità globale ha a lungo immaginato che guerre devastanti sarebbero state combattute nel cyberspazio, con gli Stati-nazione che dispiegavano armi digitali del giorno del giudizio in grado di paralizzare le infrastrutture critiche in un colpo decisivo. Tuttavia, nonostante l'escalation senza precedenti delle attività informatiche, non si è verificato alcun evento apocalittico di questo genere. Che sia a causa delle capacità limitate, della paura della distruzione reciproca o della riluttanza a scatenare un caos irreversibile, la natura della guerra cibernetica ha preso una strada diversa.

Gli stati-nazione hanno spostato l'attenzione sui conflitti che minano la fiducia pubblica, sfruttano le fratture sociali e destabilizzano le istituzioni dall'interno. Le campagne comportano la manipolazione delle informazioni sui social media, i gruppi di "hacktivisti" si prendono il merito degli attacchi informatici sostenuti dallo stato e la minaccia di accesso segreto a reti compromesse e dispositivi protetti in modo non appropriato è costante.

Guerre cibernetiche Edizione 2024

L'ascesa degli infostealer

TENDENZE DELLA CYBER SECURITY 03

EVENTI DI SICUREZZA INFORMATICA 202402

INTRODUZIONE01

PREVISIONI DEL SETTORE PER IL 202507

RACCOMANDAZIONI DEI CISO 08

ANALISI GLOBALE04

VULNERABILITÀ DI ALTO PROFILO05

PROSPETTIVA DI RISPOSTA AGLI INCIDENTI06

L'ecosistema del ransomware

Complessità del cloud

Dispositivi EDGE e ORB

LO STATO DELLA SICUREZZA INFORMATICA 202511

https://research.checkpoint.com/2024/beyond-imagining-how-ai-is-actively-used-in-election-campaigns-around-the-world/ https://go.recordedfuture.com/hubfs/reports/cta-2024-0509.pdf https://go.recordedfuture.com/hubfs/reports/cta-2024-0509.pdf https://8726485.fs1.hubspotusercontent-na1.net/hubfs/8726485/Reports/KELA%20Report%20-%20Unmasking%20Deepfakes%20-%20When%20Digital%20Deception%20Becomes%20the%20New%20Reality%20-%202024.pdf https://edition.cnn.com/2024/08/19/politics/us-concludes-iran-behind-trump-biden-harris-hacking/index.html https://www.resecurity.com/blog/article/iranian-cyber-actors-irgc-targeting-the-2024-us-presidential-election https://www.cisa.gov/news-events/alerts/2024/10/08/cisa-and-fbi-release-fact-sheet-protecting-against-iranian-targeting-accounts-associated-national https://blogs.microsoft.com/on-the-issues/2024/04/04/china-ai-influence-elections-mtac-cybersecurity/ https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/how-threat-actors-conduct-election-interference-operations-an-overview/

MALWARE DISTRUTTIVI E DI DISTURBO Gli stati-nazione si sono sempre più affidati al malware distruttivo come arma importante nella guerra informatica. Queste operazioni "rumorose", caratterizzate da malware wiper e altri strumenti di disturbo, hanno preso di mira le infrastrutture necessarie, interrompendo i servizi essenziali e diffondendo il caos.

Nelle crescenti tensioni in Medio Oriente, l'Iran e altri gruppi di minacce regionali hanno dimostrato il potenziale distruttivo del malware wiper. Void Manticore, un gruppo iraniano legato al Ministero dell'Intelligence e della Sicurezza (MOIS), ha schierato il No-Justice Wiper sotto le spoglie di personaggi hacktivisti come Karma e Homeland Justice. Queste campagne hanno preso di mira le infrastrutture essenziali israeliane e le organizzazioni private, cancellando i dati e interrompendo i servizi.

Similmente, il gruppo WIRTE, collegato ad Hamas, ha mostrato sue capacità informatiche in evoluzione utilizzando la variante wiper SameCoin per colpire ospedali e comuni in Israele, esacerbando il costo psicologico e logistico del conflitto in corso.

Nell'Europa orientale, i gruppi legati alla Russia hanno continuato a utilizzare malware distruttivi come parte della più ampia strategia di guerra ibrida in Ucraina. Il famigerato APT44 (noto anche come Sandworm) affiliato alla Russia ha introdotto AcidPour, una variante avanzata del malware wiper AcidRain. AcidPour è stato implementato per interrompere le infrastrutture critiche ucraine, la rete di telecomunicazioni e i

Oltre alle elezioni presidenziali di alto profilo negli Stati Uniti, le elezioni presidenziali a Taiwan e in Romania e il referendum sull'UE in Moldavia sono diventati obiettivi primari per la guerra di disinformazione cyber-enabled. Le campagne attribuite alla Cina hanno utilizzato articoli e post sui social media generati dall'intelligenza artificiale per imitare fonti di notizie legittime, screditare i candidati e influenzare l'opinione pubblica. I video deepfake che ritraevano candidati che facevano dichiarazioni controverse sono circolati ampiamente, mentre le domande fuorvianti dei sondaggi suggerivano un calo del sostegno per candidati specifici. In Romania, l'interferenza russa ha sfruttato falsi account di social media e manipolato i contenuti per promuovere il candidato di estrema destra Călin Georgescu. Dopo che Georgescu vinse inaspettatamente il primo turno, l'intelligence desecretata ha rivelato l'entità dell'interferenza straniera, provocando un annullamento senza precedenti dei risultati elettorali e la programmazione di un nuovo voto. In Moldavia, una campagna chiamata "Operazione MiddleFloor", attribuita a un gruppo allineato alla Russia, ha preso di mira i settori del governo e dell'istruzione utilizzando e-mail e documenti contraffatti per diffondere narrazioni antieuropeiste e minare la fiducia nella leadership a favore dell'Europa.

Le Olimpiadi di Parigi sono diventate un altro punto chiave per la disinformazione. Storm-1679, collegato alla Russia ha diffuso false narrazioni sulla corruzione, l'arbitraggio parziale e le minacce di violenza. Account automatizzati e bot hanno amplificato queste affermazioni per screditare l'evento e distruggere l'unità occidentale. Più aggressivamente, il gruppo iraniano Emennet Pasargad ha sfruttato le vulnerabilità del

fornitore del sistema di visualizzazione delle Olimpiadi per interrompere le trasmissioni e diffondere propaganda anti- israeliana e ha inviato minacce agli atleti israeliani da parte di un falso personaggio che imitava il gruppo francese GUD.

Questi attacchi alle democrazie e alle alleanze politiche occidentali come la NATO sono diventati sempre più efficaci e pericolosi man mano che i paesi democratici si trovano ad affrontare sfide sempre crescenti. Le guerre culturali online, il populismo alimentato dai social media e le piattaforme mediatiche politicizzate che utilizzano algoritmi avanzati per personalizzare i contenuti a proprio favore hanno creato un terreno fertile per gli attori stranieri per minare la fiducia del pubblico. La diffusione di contenuti che si allineano o sostengono la propaganda di specifici stati ha già messo radici, approfondendo le divisioni sociali.

Le democrazie hanno risposto inasprendo le normative e riconoscendo la disinformazione come una minaccia per le infrastrutture essenziali. Il Dipartimento per la sicurezza interna degli Stati Uniti ha evidenziato l'ingerenza elettorale come una minaccia, mentre il Canada ha ampliato la legge CSIS per una migliore condivisione dell'intelligence. L'Unione Europea ha imposto regole severe a piattaforme come Meta per frenare la disinformazione russa. OpenAI e Microsoft stanno disturbando gli account associati a gruppi provenienti da Cina, Iran, Russia e Corea del Nord.

FASE DEL FURTO FASE PUBBLICA

ATTIVISTI INFORMATICI

ESFILTRAZIONE DEI DATI

PERDITA DI DATI

ATTIVITÀ DISTRUTTIVA

ACCESSO INIZIALE

Figura 1 - Tattiche tipiche di campagna bellica dell'Iran

Guerre cibernetiche Edizione 2024

L'ascesa degli infostealer

TENDENZE DELLA CYBER SECURITY 03

EVENTI DI SICUREZZA INFORMATICA 202402

INTRODUZIONE01

PREVISIONI DEL SETTORE PER IL 202507

RACCOMANDAZIONI DEI CISO 08

ANALISI GLOBALE04

VULNERABILITÀ DI ALTO PROFILO05

PROSPETTIVA DI RISPOSTA AGLI INCIDENTI06

L'ecosistema del ransomware

Complessità del cloud

Dispositivi EDGE e ORB

LO STATO DELLA SICUREZZA INFORMATICA 202512

https://research.checkpoint.com/2024/bad-karma-no-justice-void-manticore-destructive-activities-in-israel/ https://research.checkpoint.com/2024/bad-karma-no-justice-void-manticore-destructive-activities-in-israel/ https://research.checkpoint.com/2024/hamas-affiliated-threat-actor-expands-to-disruptive-activity/ https://research.checkpoint.com/2024/hamas-affiliated-threat-actor-expands-to-disruptive-activity/ https://www.sentinelone.com/labs/acidpour-new-embedded-wiper-variant-of-acidrain-appears-in-ukraine/ https://www.state.gov/gec-special-report-how-the-peoples-republic-of-china-seeks-to-reshape-the-global-information-environment/ https://www.npr.org/2024/01/11/1216340756/taiwan-election-disinformation-social-media-ptt https://www.npr.org/2024/01/11/1216340756/taiwan-election-disinformation-social-media-ptt https://www.bbc.com/news/articles/cn4x2epppego https://www.bbc.com/news/articles/cn4x2epppego https://research.checkpoint.com/2024/disinformation-campaign-moldova/ https://blogs.microsoft.com/on-the-issues/2024/06/02/russia-cyber-bots-disinformation-2024-paris-olympics/ https://www.ic3.gov/CSA/2024/241030.pdf https://www.ic3.gov/CSA/2024/241030.pdf https://openai.com/index/disrupting-malicious-uses-of-ai-by-state-affiliated-threat-actors/ https://openai.com/index/disrupting-malicious-uses-of-ai-by-state-affiliated-threat-actors/

Allo stesso modo, anche gli attori russi hanno esemplificato questa tattica, con gruppi come KillNet, NoName057 (16) e il Cyber Army of Russia che prendono di mira le infrastrutture critiche nei paesi alleati contro la Russia. Questi gruppi hanno effettuato per lo più attacchi DDoS (Distributed Denial of Service) e altre manipolazioni, interrompendo le operazioni governative e del settore privato in Ucraina e nei paesi che la sostengono.

Al di là dei loro sforzi individuali, gli hacktivisti filorussi hanno ampliato la loro influenza formando alleanze con attori stranieri. Un esempio notevole è il collettivo di hacktivisti dell'High Society, che incorpora oltre 20 bande informatiche affiliate alla Russia, inclusi gruppi legati alla Russia come People's Cyber Army, NoName057(16) e UserSec. L'Alta Società ha aderito all'Unione 7 Ottobre, un collettivo di hacktivisti filopalestinesi composto da oltre 40 gruppi, molti dei quali legati all'Iran. Questa alleanza, chiamata Holy League, ha preso di mira la NATO, l'Europa, l'Ucraina e Israele, con considerevoli campagne come il DDoS coordinato e gli sforzi di propaganda mirati al vertice del 75° anniversario della NATO a Washington. La campagna ha cercato di minare il sostegno pubblico al supporto della NATO all'Ucraina, mescolando attacchi informatici con manipolazione psicologica per influenzare l'opinione pubblica.

per mantenere la persistenza, inoltrare i comandi e raccogliere informazioni. Spesso gestiti da appaltatori in Cina, gli ORB hanno permesso a questi aggressori di rimanere incorporati in sistemi compromessi, trasmettendo comandi e raccogliendo informazioni senza farsi notare.

GRUPPI "HACKTIVISTI" L'anno scorso, i confini confusi della guerra informatica sostenuta dagli stati sono diventati sempre più evidenti, poiché gli stati-nazione si sono affidati a una rete tentacolare di personaggi online per favorire i loro programmi geopolitici. Molte di queste figure, che si presentavano come hacktivisti indipendenti ideologicamente motivati, erano fronti di gruppi APT sponsorizzati dallo stato. Amplificando le narrazioni divisive e prendendo di mira la fiducia del pubblico, i gruppi di hacktivisti sono diventati componenti fondamentali di operazioni di influenza più ampie, permettendo ai loro finanziatori di nascondere il coinvolgimento diretto, sfruttando la retorica patriottica per amplificarne l'impatto. In un contesto di calo dell'interesse pubblico e di crescente stanchezza, nel 2024 è emersa una tendenza notevole: la formazione di alleanze, in cui gruppi diversi si sono uniti sotto bandiere condivise per creare un fronte più forte e coeso.

Sul fronte individuale, anche i gruppi di hacktivisti supportatidall'Iran hanno intensificato proprie attività, concentrandosi principalmente su obiettivi israeliani e albanesi. Gruppi come Malek Team e Handala Hack hanno condotto campagne di deturpazione, operazioni di pirateria informatica, fuga di notizie e interruzioni e hanno rivendicato la responsabilità della violazione della rete israeliana e dell'esfiltrazione di terabyte di dati sensibili. Karma, associata al Ministero dell'Intelligence e della Sicurezza iraniano (MOIS), ha schierato strumenti distruttivi come il BiBi e i wiper No Justice contro le organizzazioni israeliane. I Cyber Avengers, legati al Corpo delle Guardie Rivoluzionarie Islamiche (IRGC), hanno preso di mira infrastrutture critiche, tra cui reti elettriche e sistemi idrici in Israele, Stati Uniti e Irlanda. Anche il gruppo iraniano Homeland Justice ha attaccato le istituzioni governative albanesi come rappresaglia per aver ospitato il gruppo di opposizione Mujahedin-e-Khalq (MEK). Queste attività evidenziano l'abile uso da parte dell'Iran di gruppi proxy per fondere l'hacktivismo con la guerra cibernetica diretta dallo stato, promuovendo i propri interessi geopolitici pur mantenendo una possibilità di negare plausibile.

fornitori di servizi Internet. Questo malware è stato progettato non solo per distruggere i sistemi, ma anche per integrarsi più in profondità negli ambienti, esfiltrando i piani militari sensibili e interrompendo i canali di comunicazione essenziali. Queste operazioni hanno sottolineato l'intenzione della Russia di sfruttare strumenti informatici come meccanismo di supporto fondamentale nei suoi conflitti geopolitici.

PREPARAZIONE ALL'INTERRUZIONE: I "PULSANTI ROSSI" POSSIBILI Mentre alcune nazioni hanno abbracciato questi attacchi ad alto impatto e una tantum, altre, come la Cina, hanno adottato un approccio più calmo. Sono penetrati in profondità all'interno dei sistemi essenziali, gettando le basi per potenziali interruzioni su larga scala in futuro. Gli attori affiliati alla Cina ora si concentrano sull'infiltrazione nelle infrastrutture essenziali e sul mantenimento di una presenza persistente e non rilevata. Sfruttando le vulnerabilità dei dispositivi edge come router, appliance VPN e sistemi IoT, gruppi come APT41 e Bronze Butler hanno ottenuto l'accesso non autorizzato ai componenti di rete meno sicuri, consentendo loro di raccogliere informazioni e stabilire una potenziale capacità di "pulsante rosso", accesso che potrebbe essere utilizzato per future interruzioni su larga scala. Questo posizionamento strategico, particolarmente evidente negli obiettivi statunitensi, consente agli attori cinesi di prepararsi silenziosamente a potenziali conflitti, evitando la visibilità immediata e le ritorsioni che derivano dalle operazioni distruttive.

gruppo cinese APT Volt Typhoon ha esemplificato questo approccio intensificando l'attenzione sullo sfruttamento di firewall e router nelle infrastrutture essenziali degli Stati Uniti. Sfruttando tecniche di "living-off-the-land" (LOTL), Volt Typhoon si è affidato a strumenti amministrativi legittimi all'interno di ambienti compromessi per eludere il rilevamento. Ciò ha permesso al gruppo di aggirare le misure convenzionali di sicurezza informatica e di mantenere una presenza segreta, posizionandosi per azioni future.

Aggiungendo un altro livello a questa strategia segreta, Salt Typhoon ha preso di mira i principali fornitori di servizi Internet (ISP), tra cui AT&T e Verizon, sfruttandone le vulnerabilità per intercettare e manipolare il traffico di rete. Inoltre, gli attori affiliati alla Cina hanno utilizzato le Operational Relay Box (ORB), ovvero delle reti di VPS e dispositivi IoT compromessi,

Figura 2: post di Telegram sulla creazione della "Lega Santa".

Guerre cibernetiche Edizione 2024

L'ascesa degli infostealer

TENDENZE DELLA CYBER SECURITY 03

EVENTI DI SICUREZZA INFORMATICA 202402

INTRODUZIONE01

PREVISIONI DEL SETTORE PER IL 202507

RACCOMANDAZIONI DEI CISO 08

ANALISI GLOBALE04

VULNERABILITÀ DI ALTO PROFILO05

PROSPETTIVA DI RISPOSTA AGLI INCIDENTI06

L'ecosistema del ransomware

Complessità del cloud

Dispositivi EDGE e ORB

LO STATO DELLA SICUREZZA INFORMATICA 202513

https://therecord.media/noname-hacking-group-targets-ukraine-and-allies https://www.csoonline.com/article/3568804/russian-groups-hack-of-texas-water-system-underscores-critical-ot-cyber-threats.html https://cybernews.com/cybercrime/holy-league-hacker-alliance-attack-nato/ https://socradar.io/dark-web-profile-muddywater-apt-group/ https://socradar.io/dark-web-profile-cyber-av3ngers/ https://therecord.media/iran-linked-hackers-claim-attack-on-albania-census-org https://cloud.google.com/blog/topics/threat-intelligence/apt44-unearthing-sandworm https://www.wsj.com/politics/national-security/china-cyberattack-internet-providers-260bd835 https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-038a https://www.microsoft.com/en-us/security/blog/2023/05/24/volt-typhoon-targets-us-critical-infrastructure-with-living-off-the-land-techniques/ https://www.cisa.gov/news-events/news/joint-statement-fbi-and-cisa-prc-activity-targeting-telecommunications https://www.cisa.gov/news-events/news/joint-statement-fbi-and-cisa-prc-activity-targeting-telecommunications https://cloud.google.com/blog/topics/threat-intelligence/china-nexus-espionage-orb-networks/

Nel 2024, l'attività degli hacktivisti ha messo in luce l'evoluzione delle dinamiche delle alleanze e dell'influenza nel cyberspazio, riflettendo le tensioni geopolitiche tra Oriente e Occidente. Gruppi come la Holy League simboleggiavano obiettivi strategici condivisi tra attori affiliati alla Russia e all'Iran. Queste alleanze hanno spesso rispecchiato gli sviluppi politici del mondo reale: ad esempio, dopo che la Corea del Sud ha inviato osservatori in Ucraina durante il coinvolgimento della Corea del Nord con le forze russe, i gruppi legati alla Russia NoName057(16) e Z Pentest hanno lanciato attacchi DDoS di rappresaglia e violazioni industriali contro realtà sudcoreane. Rimarcando i propri fronti uniti attraverso ricorrenti dichiarazioni di collaborazione, questi gruppi hanno cercato di mantenere l'attenzione, rafforzare il loro impatto psicologico e amplificare l'influenza globale nel panorama sempre più complesso dei moderni conflitti informatici.

LA GUERRA FINANZIARIA CIBERNETICA DELLA COREA DEL NORD Dove le altre nazioni schierano gli hacktivisti per interrompere e destabilizzare, gli sforzi informatici della Corea del Nord trascendono la pretesa dell'attivismo. Invece, Pyongyang ha progettato un vasto apparato interconnesso di operazioni informatiche che fondono il crimine finanziario con lo spionaggio per aiutare a sostenere il regime sotto il peso delle sanzioni internazionali.

La "guerra finanziaria" della Corea del Nord è un delicato atto di equilibrio: ransomware e furto di criptovalute finanziano le ambizioni nucleari del regime, i programmi missilistici e lo sviluppo di altre armi, mentre le campagne di spionaggio raccolgono informazioni per migliorare le capacità militari e tecnologiche.

Lazarus Group, il primo esempio di macchina criminale informatica della Corea del Nord, ha guidato le operazioni nel 2024 con la complessità che lo contraddistingue. Un'operazione mascherata da gioco di criptovaluta a tema carro armato ha sfruttato una vulnerabilità zero-day in Google Chrome per implementare la backdoor Manuscrypt. L'obiettivo non era solo quello di rubare criptovaluta, ma anche di aggiungere un elemento di spionaggio. Un portafoglio rubato oggi potrebbe sovvenzionare un progetto militare rubato domani.

Sottogruppi come BlueNoroff hanno ulteriormente perfezionato questo approccio. La loro campagna "Hidden Risk" ha attirato i trader di criptovalute con e-mail di phishing convincenti e siti web di notizie false progettati per manipolare le transazioni e dirottare fondi nelle casse del regime. Ha inoltre dimostrato come le strategie di diffusione della disinformazione possano essere sfruttate nella criminalità informatica.

Andariel, un altro degli APT del regime, ha confuso il confine tra furto finanziario e distruzione. Ha preso di mira le organizzazioni sanitarie statunitensi che crittografano i sistemi essenziali per estorcere pagamenti in criptovaluta utilizzando il ransomware Play orientato al crimine informatico. Queste operazioni non riguardavano solo un guadagno finanziario immediato, ma servivano anche come banco di prova per tattiche che avrebbero potuto sconvolgere settori basilari in una crisi geopolitica.

Anche il panorama occupazionale è diventato un campo di battaglia. Nel 2024, le aziende occidentali hanno inconsapevolmente accolto agenti nordcoreani che si spacciavano per freelance IT da remoto. Infiltrandosi negli ambienti aziendali sotto falsa identità, questi agenti hanno ottenuto un duplice scopo: generare valuta forte per il regime e ottenere un potenziale accesso alle reti organizzative sensibili.

DAGLI ATTACCHI CATASTROFICI PREANNUNCIATI A BATTAGLIE COSTANTI In una visione più ampia di quest'anno, la guerra informatica si

ELI SMADJA

Responsabile del gruppo Ricerca sulla sicurezza

La guerra informatica attuale si è evoluta dalla distruzione immediata a campagne che gettano le basi per l'erosione dei sistemi sociali e fisici. Ora, gli stati-nazione brandiscono "armi" informatiche come i deepfake generati dall'intelligenza artificiale e la manipolazione dei social media che indeboliscono i processi democratici nel tempo, mentre le loro operazioni segrete garantiscono l'accesso alle infrastrutture essenziali, ponendo le basi per attacchi futuri.

è frammentata in battaglie più piccole e costanti in più domini invece di attacchi catastrofici volti a paralizzare le nazioni in un solo colpo. Questi conflitti raramente hanno vincitori o vinti evidenti, ma per lo più riescono a erodere la fiducia, indebolire le istituzioni e confondere i confini tra la sfera statale e quella civile.

Le operazioni di condizionamento sono emerse come un fronte chiave, con campagne di disinformazione alimentate dall'intelligenza artificiale che mirano alle elezioni, alla coesione sociale e alla stabilità geopolitica. Allo stesso tempo, i malware distruttivi, i fronti degli hacktivisti e il crimine informatico finanziario sono serviti come strumenti di coercizione, destabilizzazione e autosostentamento nel caso di regimi pesantemente sanzionati come la Corea del Nord.

Mentre le democrazie tentano di adattarsi inasprendo le normative e investendo in difesa informatiche, il campo di battaglia si è già spostato sotto i loro piedi. La guerra informatica non è più confinata alle infrastrutture digitali, ma ha permeato il tessuto sociale. Le battaglie per l'informazione e la percezione minacciano di durare più a lungo rispetto ai sistemi fisici che un tempo ci si aspettava che prendessero di mira.

Guerre cibernetiche Edizione 2024

L'ascesa degli infostealer

TENDENZE DELLA CYBER SECURITY 03

EVENTI DI SICUREZZA INFORMATICA 202402

INTRODUZIONE01

PREVISIONI DEL SETTORE PER IL 202507

RACCOMANDAZIONI DEI CISO 08

ANALISI GLOBALE04

VULNERABILITÀ DI ALTO PROFILO05

PROSPETTIVA DI RISPOSTA AGLI INCIDENTI06

L'ecosistema del ransomware

Complessità del cloud

Dispositivi EDGE e ORB

LO STATO DELLA SICUREZZA INFORMATICA 202514

http://www.infosecurity-magazine.com/news/russian-hacktivits-south-korea/ https://securelist.com/lazarus-apt-steals-crypto-with-a-tank-game/114282/ https://www.sentinelone.com/labs/bluenoroff-hidden-risk-threat-actor-targets-macs-with-fake-crypto-news-and-novel-persistence/ https://unit42.paloaltonetworks.com/north-korean-threat-group-play-ransomware/ https://cloud.google.com/blog/topics/threat-intelligence/mitigating-dprk-it-worker-threat

L'ECOSISTEMA DEL RANSOMWARE NEL 2024: IMPATTO DELLE FORZE DELL'ORDINE, ATTACCHI MIRATI AL SISTEMA SANITARIO E AUMENTO DELL'ESTORSIONE DELLE FUGHE DI DATI Il ransomware è rimasto la minaccia informatica più significativa per le aziende di tutto il mondo nel 2024, raggiungendo nuove vette in termini di portata e di impatto. Il poco conosciuto gruppo di ransomware Dark Angels secondo quanto è stato riportato si è assicurato un pagamento sbalorditivo di 75 milioni di dollari da una società anonima Fortune 50, mentre ALPHV ha estorto 22 milioni di dollari a Change Healthcare. Nel caso di Change Healthcare, l'attacco ransomware ha provocato mesi di interruzione del servizio e il furto delle cartelle cliniche di oltre 100 milioni di pazienti. UnitedHealth, la società madre di Change Healthcare, ha registrato un effetto scioccante di 872 milioni di dollari nel primo trimestre del 2024. Ciò includeva 593 milioni di dollari in costi di risposta diretta e 279 milioni di dollari in interruzioni dell'attività. Inoltre, la società ha stanziato 800 milioni di dollari per fondi per future richieste di risarcimento.

Nonostante questo aumento, il pagamento medio del riscatto nel 2024 è rimasto a circa $ 200.000, con la maggior parte degli attacchi che si sono svolti silenziosamente con poca attenzione pubblica.

A parte i casi di alto profilo, quest'anno il panorama delle minacce è cambiato radicalmente. La pressione sostenuta delle forze dell'ordine e le controversie criminali hanno portato alla caduta di LockBit, un attore dominante nel panorama del ransomware per molti anni, e del suo principale rivale, ALPHV. Le loro uscite hanno spianato la strada all'ascesa del nuovo gruppo di minacce RansomHub. Inoltre, il settore sanitario, che un tempo si pensava fosse meno preso di mira dato il suo ruolo, è diventato un obiettivo primario per i criminali informatici. Infine, gli attori delle minacce passano sempre più dalle tradizionali tattiche basate sulla crittografia alla pura estorsione dei dati, segnalando un approccio più snello e pericoloso.

LE OPERAZIONI DELLE FORZE DELL'ORDINE E IL LORO EFFETTO SULL'ECOSISTEMA DEL RANSOMWARE Sebbene le misure di sicurezza informatica offrano protezione, non sono sufficienti per contrastare quella che è diventata la

principale minaccia informatica per le aziende: il ransomware. Gli sforzi per combattere gli attacchi sono ostacolati dalla

Figura 3 - Post sul dark-web, che specifica le condizioni di reclutamento per il Cicada3301!, gruppo che vieta l'attività nei confronti di entità affiliate alla Russia (Comunità degli Stati Indipendenti, CSI).

L'ecosistema del ransomware

15

L'ascesa degli infostealer

TENDENZE DELLA CYBER SECURITY 03

EVENTI DI SICUREZZA INFORMATICA 202402

INTRODUZIONE01

PREVISIONI DEL SETTORE PER IL 202507

RACCOMANDAZIONI DEI CISO 08

ANALISI GLOBALE04

VULNERABILITÀ DI ALTO PROFILO05

PROSPETTIVA DI RISPOSTA AGLI INCIDENTI06

Guerre cibernetiche Edizione 2024

Complessità del cloud

Dispositivi EDGE e ORB

LO STATO DELLA SICUREZZA INFORMATICA 202515

https://krebsonsecurity.com/2024/08/low-drama-dark-angels-reap-record-ransoms https://www.bleepingcomputer.com/news/security/dark-angels-ransomware-receives-record-breaking-75-million-ransom https://techcrunch.com/2024/10/24/how-the-ransomware-attack-at-change-healthcare-went-down-a-timeline https://www.bleepingcomputer.com/news/security/unitedhealth-change-healthcare-cyberattack-caused-872-million-loss

mancanza di cooperazione internazionale, dal momento che la Russia, la Corea del Nord e l'Iran permettono o sostengono attivamente tali attività.

Per affrontare questa minaccia sono necessari sforzi sostenuti e coordinati a livello internazionale di contrasto, come la condivisione dell'intelligence, il coordinamento dei quadri giuridici e il perseguimento congiunto dei responsabili e la distruzione delle loro infrastrutture. In modo fiducioso, il 2024 ha registrato diversi esempi efficaci di tali operazioni.

Negli anni precedenti, le operazioni di dismissione hanno preso di mira con successo importanti gruppi di ransomware come Hive, Ragnar e altri. Nel febbraio 2024, l'Operazione Cronos, un'operazione coordinata tra le forze di polizia internazionali guidata dalla National Crime Agency (NCA) del Regno Unito e dall'FBI, ha inferto un duro colpo a LockBit, il gruppo dominante nell'ecosistema ransomware-as-a-Service (RaaS). L'operazione

ha sequestrato i siti di fuga di dati (DLS) di LockBit e smantellato le infrastrutture primarie, interrompendo in modo significativo le loro operazioni. Le autorità hanno preso il controllo di 34 server in diversi paesi, tra cui Paesi Bassi, Germania e Stati Uniti. La campagna è continuata per tutto il mese di ottobre e ha portato all'arresto di attori chiave in Polonia e Ucraina, mentre le autorità giudiziarie francesi e statunitensi emettevano accuse a macchia. Le forze dell'ordine hanno ottenuto e rilasciato le chiavi di decrittazione e i dati interni di LockBit, esponendo le operazioni del gruppo e la rete affiliata a ulteriori accertamenti.

L'operazione non mirava solo a smantellare l'infrastruttura tecnica di LockBit, ma anche a offuscare la sua immagine nei circoli criminali informatici. La reputazione di LockBit è

stata fondamentale per le sue operazioni, come dimostra il suo impegno attivo nei forum criminali e nelle interviste ai media. Il leader del gruppo, noto come LockBitSupp, interagiva spesso su queste piattaforme, promuovendo i propri servizi ransomware e mantenendo un personaggio pubblico. Questa visibilità è stata fondamentale per reclutare affiliati e garantire alle vittime la loro "professionalità" nella gestione dei pagamenti dei riscatti e dei dati.

Dopo l'Operazione Cronos, l'attività di LockBit è diminuita in modo significativo. Una volta che le loro comunicazioni interne e le loro identità collegate sono state scoperte, la loro credibilità è andata persa. LockBit ha tentato di proiettare un'immagine come se tutto fosse normale come sempre, pubblicando falsi elenchi di riciclato o vittime di altri aggressori, un fenomeno che è aumentato con il passaggio all'estorsione basata sui dati. Nonostante i tentativi di LockBit di ristabilire le operazioni, la continua pressione delle forze dell'ordine e la perdita di credibilità all'interno della comunità dei criminali informatici ne hanno impedito la ripresa. Tuttavia, nell'ultima settimana del 2024, il gruppo ha annunciato una nuova versione, LockBit 4.0. Solo il tempo dirà se si tratterà di una rinascita per l'organizzazione criminale.

ALPHV è stato un altro importante attore RaaS a uscire di scena. Alla fine del 2023 hanno subito un'operazione delle forze dell'ordine, ma si sono ripresi in breve tempo e hanno ricominciato in modo aggressivo le operazioni contro gli enti sanitari.

200

100

Dec 23

420

293 304

380

477

347 407 387

544 603

534541

386

Dec 24

Nov 24

Oct 24

Sep 24

Aug 24

Jul 24

June 24

May 24

Apr 24

Mar 24

Feb 24

Jan 24

0

300

400

500

600

700

Figura 5 - Numero totale di vittime segnalate sui siti di fuga di dati ransomware.

Figura 4 - Screenshot dal sito della vergogna di LockBit che ne minano la reputazione (fonte: NCA).

L'ecosistema del ransomware

16

L'ascesa degli infostealer

TENDENZE DELLA CYBER SECURITY 03

EVENTI DI SICUREZZA INFORMATICA 202402

INTRODUZIONE01

PREVISIONI DEL SETTORE PER IL 202507

RACCOMANDAZIONI DEI CISO 08

ANALISI GLOBALE04

VULNERABILITÀ DI ALTO PROFILO05

PROSPETTIVA DI RISPOSTA AGLI INCIDENTI06

Guerre cibernetiche Edizione 2024

Complessità del cloud

Dispositivi EDGE e ORB

LO STATO DELLA SICUREZZA INFORMATICA 202516

https://www.justice.gov/opa/pr/us-department-justice-disrupts-hive-ransomware-variant https://www.europol.europa.eu/media-press/newsroom/news/ragnar-locker-ransomware-gang-taken-down-international-police-swoop https://www.europol.europa.eu/media-press/newsroom/news/law-enforcement-disrupt-worlds-biggest-ransomware-operation https://blog.checkpoint.com/research/ransomwares-evolving-threat-the-rise-of-ransomhub-decline-of-lockbit-and-the-new-era-of-data-extortion/ https://www.darkreading.com/threat-intelligence/lessons-from-the-lockbit-takedown https://www.nationalcrimeagency.gov.uk/images/Feb2024/Leak_site.jpeg

garantita Invece, il panorama è entrato in un periodo di frammentazione competitiva, con attori di medie dimensioni, come Akira, Play, Medusa, Dan0n, Hunters e Bianlian, che si affannavano a reclutare affiliati e a creare slancio

Le ricadute del trattenimento da parte di ALPHV della quota di riscatto di un affiliato, combinate con la reputazione danneggiata di LockBit e la disponibilità di codice ransomware trapelato, hanno facilitato l'ascesa di operatori più autonomi. È emerso un numero crescente di gruppi più piccoli e indipendenti, non disposti a fare affidamento su framework RaaS consolidati o a condividere i profitti con gli operatori centralizzati. Sfruttando il codice trapelato, questi attori hanno personalizzato i propri tipi di ransomware e le infrastrutture, riducendo la dipendenza dai principali fornitori RaaS e promuovendo un ecosistema più decentralizzato e competitivo.

Alla fine del 2024, RansomHub è emerso come il nuovo attore dominante, contando il 16% delle vittime segnalate a novembre. Nello stesso periodo, oltre 40 altri gruppi di ransomware a doppia estorsione sono rimasti attivi, ognuno dei quali ha mantenuto i propri siti di fuga di dati e ha preso di mira nuove vittime.

Nel febbraio 2024, un'affiliata di ALPHV ha attaccato Change Healthcare. Il gruppo ha trattenuto tutti i 22 milioni di dollari dall'associata, negandone la quota. Il gruppo ha quindi falsificato un avviso di sequestro sul loro DLS e ha annunciato il loro ritiro.

Sebbene la rimozione di questi due gruppi dominanti abbia avuto un impatto sul panorama del ransomware a breve e lungo termine, ha fatto ben poco per frenare il volume degli attacchi dell'ecosistema. In effetti, il numero delle vittime pubblicate è aumentato costantemente. Questa resilienza evidenzia la natura delle operazioni RaaS: gli affiliati indipendenti rimangono in gran parte inalterati dal crollo di un singolo marchio o operatore e migrano semplicemente verso altre piattaforme. Liberi da precedenti alleanze, questi affiliati trovano gruppi RaaS alternativi che mettono a disposizione l'infrastruttura, i siti di leak e i servizi di supporto necessari, garantendo che la loro pipeline di attacchi ransomware rimanga intatta.

Subito dopo, nessuna singola entità è stata in grado di replicare il dominio di mercato precedentemente detenuto da LockBit e ALPHV. Sebbene RansomHub sembrasse pronto ad assumere un ruolo di primo piano, la sua posizione era tutt'altro che

0

40

80

60

20

120

100

160

140

200

180

Dec 23

Nov 23

Nov 24

Oct 24

Sep 24

Aug 24

Jul 24

June 24

May 24

Apr 24

Mar 24

Feb 24

Jan 24

LockBit victims RansomHub victims

Figura 6 - I siti di fuga di dati hanno segnalato le vittime di LockBit vs. RansomHub. nel 2024.

Akira

6% KillSec3

6% QiLin

5% SafePay

5%

Inc Ransom 4% Hunters4%

Lynx 4%

Medusa 4%

Play 4%

RansomHub

16% Other

42%

Figura 7 - Vittime dei siti di fuga di dati per attore, novembre 2024.

L'ecosistema del ransomware

17

L'ascesa degli infostealer

TENDENZE DELLA CYBER SECURITY 03

EVENTI DI SICUREZZA INFORMATICA 202402

INTRODUZIONE01

PREVISIONI DEL SETTORE PER IL 202507

RACCOMANDAZIONI DEI CISO 08

ANALISI GLOBALE04

VULNERABILITÀ DI ALTO PROFILO05

PROSPETTIVA DI RISPOSTA AGLI INCIDENTI06

Guerre cibernetiche Edizione 2024

Complessità del cloud

Dispositivi EDGE e ORB

LO STATO DELLA SICUREZZA INFORMATICA 202517

https://krebsonsecurity.com/2024/03/blackcat-ransomware-group-implodes-after-apparent-22m-ransom-payment-by-change-healthcare

SANITÀ SOTTO TIRO La migrazione dei gruppi di ransomware per prendere di mira le organizzazioni sanitarie mette in luce il graduale declino delle linee guida "etiche" precedentemente stabilite. Nei primi mesi della pandemia di COVID-19, molti operatori RaaS avevano pubblicamente proibito di colpire gli ospedali e i fornitori di servizi medici. Tuttavia, nel tempo, queste restrizioni si sono indebolite. Alcuni amministratori RaaS hanno adottato un approccio più vago. Sebbene abbiano scoraggiato l'interruzione totale del servizio, come la crittografia dei sistemi essenziali, hanno consentito il furto di dati medici sensibili. Gli affiliati potrebbero quindi estorcere alle vittime minacciando di far trapelare informazioni sui pazienti e fare pressione sugli enti sanitari affinché paghino senza mettere chiaramente in pericolo i pazienti.

Questa strategia è ulteriormente peggiorata dopo l'operazione di applicazione della legge contro l'ALPHV. Il gruppo ha apertamente incoraggiato gli affiliati a prendere di mira gli

ospedali in modo specifico. Entro febbraio 2024, l'ambito sanitario e quello medico sono diventati i settori più presi di mira per l'ALPHV, rappresentando circa il 30% delle vittime segnalate.

La natura fondamentale delle operazioni sanitarie significa che i tempi di inattività prolungati del sistema sono inaccettabili a causa del rischio che rappresentano per i pazienti. Come dimostrato dall'attacco Change Healthcare, questo aumenta in maniera significativa la probabilità di pagamenti di riscatto.

Le aziende sanitarie e mediche rappresentano ora il 10% di tutte le vittime di ransomware segnalate pubblicamente, rendendo l'assistenza sanitaria il secondo settore più preso di mira nel 2024, dietro solo all'industria manifatturiera.

Mentre l'attacco di alto profilo Change Healthcare ha catturato l'attenzione globale, molti altri incidenti significativi evidenziano questa tendenza preoccupante. Nel febbraio 2024, un attacco ransomware Phobos ha preso di mira il sistema sanitario rumeno, colpendo direttamente 25 ospedali e causando interruzioni delle operazioni in oltre 100 strutture aggiuntive a causa del suo effetto sul sistema informativo Hipocrate (HIS). A causa della disconnessione da Internet, gli ospedali hanno riscontrato un rallentamento dei servizi medici, un ritardo nell'assistenza ai pazienti e una capacità operativa sensibilmente ridotta.

Figura 8 - ALPHV che consente agli affiliati di "bloccare ospedali, centrali nucleari, qualsiasi cosa, ovunque" (fonte).

A giugno, Synnovis, un fornitore di esami patologici essenziali per i principali ospedali londinesi, è stato colpito dal gruppo ransomware Qilin (Agenda). L'attacco ha comportato una richiesta di riscatto di 50 milioni di dollari e la fuga di circa 400 GB di dati sensibili. La violazione ha portato alla cancellazione di oltre 6.000 appuntamenti e procedure mediche. L'interruzione ha anche causato una carenza di donazioni di sangue nel Servizio sanitario nazionale (NHS) del Regno Unito.

Molte vittime del settore sanitario sono ora prese di mira da attacchi ransomware : il 19% per Bianlian, il 23% per il ransomware INC e il 10% per RansomHub, nonostante la sua politica di evitare organizzazioni senza scopo di lucro e ospedali (vedi l'immagine sotto). Ciò evidenzia la crescente attenzione rivolta agli attori delle minacce in questo settore.

In particolare, oltre il 65% delle vittime legate all'assistenza sanitaria ha sede negli Stati Uniti, una percentuale sproporzionatamente alta rispetto alla loro quota nel più ampio ecosistema del ransomware. L'importanza delle operazioni sanitarie e la loro limitata capacità di resistere a interruzioni prolungate le rendono obiettivi particolarmente allettanti. Tutti le indicazioni suggeriscono che questa tendenza preoccupante persisterà nel 2025.

IL PASSAGGIO ALL'ESTORSIONE DELL'ESFILTRAZIONE DEI DATI (DXF) La fase di criptaggio di un attacco ransomware presenta sfide significative per gli aggressori. È intrinsecamente "turbolento", il che aumenta il rischio di rilevamento e intercettazione. La gestione di più vittime aumenta la complessità in quanto richiede la distribuzione di chiavi di decrittazione univoche e la fornitura di "assistenza clienti" per il recupero dei dati. I due compiti

10% DI VITTIME DI RANSOMWARE FANNO PARTE DEL SETTORE SANITARIO

65% DELLE VITTIME LEGATE ALL'ASSISTENZA SANITARIA HA SEDE NEGLI STATI UNITI

Figura 9 - Politica ufficiale di RansomHub dal loro DLS.

L'ecosistema del ransomware

18

L'ascesa degli infostealer

TENDENZE DELLA CYBER SECURITY 03

EVENTI DI SICUREZZA INFORMATICA 202402

INTRODUZIONE01

PREVISIONI DEL SETTORE PER IL 202507

RACCOMANDAZIONI DEI CISO 08

ANALISI GLOBALE04

VULNERABILITÀ DI ALTO PROFILO05

PROSPETTIVA DI RISPOSTA AGLI INCIDENTI06

Guerre cibernetiche Edizione 2024

Complessità del cloud

Dispositivi EDGE e ORB

LO STATO DELLA SICUREZZA INFORMATICA 202518

https://securityaffairs.com/159093/cyber-crime/romanian-hospitals-ransomware-attack.html https://securityaffairs.com/159093/cyber-crime/romanian-hospitals-ransomware-attack.html https://www.tripwire.com/state-of-security/healthcare-sector-warned-alphv-blackcat-ransomware-after-surge-targeted-attacks https://therecord.media/london-hospitals-ransomware-urgent-call-blood-donations-otype

OMER DEMBINSKY

Ricerca sui dati Responsabile del gruppo

Ogni anno, l'ambiente ransomware diventa progressivamente complicato. Mentre le forze dell'ordine hanno smantellato con successo i gruppi di ransomware as a Service (RaaS) più grandi, quest'anno sono emersi nuovi gruppi. In aggiunta , il passaggio dall'estorsione basata sulla crittografia all'estorsione dei dati comporta nuove sfide. Tuttavia, una cosa rimane costante: la necessità di adattare e migliorare la protezione dei dati, il monitoraggio e il rilevamento rapido delle minacce.

richiedono molte risorse e sono impegnativi dal punto di vista operativo. I gruppi di ransomware fanno molto affidamento sulla propria reputazione di ripristinare in modo affidabile i dati crittografati per mantenere la fiducia delle vittime e rendere sicuri i pagamenti. Se la decrittazione fallisce, mina questa fiducia e riduce la probabilità di futuri pagamenti di riscatti. In più, la dipendenza dalla crittografia aumenta la dipendenza degli affiliati dalle piattaforme RaaS. Questa dipendenza può ridurre i loro profitti aumentando al contempo la possibilità per loro di essere rivelati alle forze dell'ordine.

La disponibilità delle vittime a pagare riscatti per attacchi basati sulla crittografia è diminuita costantemente a causa di ripetuti casi in cui i pagamenti non sono riusciti a portare al recupero dei dati, insieme alle aziende che sono diventate più abili nel mantenere i backup aggiornati. I dati di Coveware, una società di risposta al ransomware con sede negli Stati Uniti, mettono in luce la tendenza: la percentuale di casi basati sulla crittografia risolti attraverso il pagamento di un riscatto è diminuita dal 75%

nel 2019 al 32% entro il terzo trimestre del 2024. Al contrario, l'esfiltrazione di dati ha mantenuto un tasso di risoluzione dei pagamenti costante di circa il 35%. Questo cambiamento, combinato con l'aumento dei costi operativi di gestione degli sforzi di decrittografia, ha portato molti attori del ransomware ad abbandonare la crittografia a favore di operazioni solo DXF.

I primi ad adottare la tendenza dell'esfiltrazione dei dati, come Karakurt e Lapsus$, hanno spianato la strada ad altri. Entro il 2024, gruppi affermati come BianLian, un gruppo ransomware di lingua russa, sono passati completamente all'estorsione solo DXF e hanno completamente abbandonato la crittografia. Allo stesso modo, quest'anno è riemerso Meow, un vecchio gruppo di ransomware precedentemente impegnato in una doppia estorsione, concentrandosi esclusivamente sulla vendita dei dati, proponendo dati rubati a diversi prezzi e consentendo alle vittime di "riacquistare" le proprie informazioni per prevenire l'esposizione pubblica.

Sono emersi anche nuovi attori esclusivamente come

Figura 10 - Politica operativa di Bashe, dai loro siti di fuga di dati.

"piattaforme di vendita di dati". Per esempio, Bashe (anche noto come Eraleign), che è apparso per la prima volta nell'aprile 2024, opera esclusivamente come piattaforma di estorsione basa sull'esfiltrazione dei dati. Offre un sito dedicato alla fuga di dati (DLS) e una piattaforma di negoziazione senza fornire servizi di crittografia o strumenti aggiuntivi.

Questo approccio ha anche creato l'opportunità per false richieste di risarcimento da parte delle vittime. Senza l'interruzione visibile causata dal criptaggio, gli attori delle minacce possono riciclare più facilmente i dati trapelati in precedenza e rivendicare falsamente il merito di nuovi attacchi. Questa tattica complica il monitoraggio delle campagne ransomware e l'identificazione dei veri autori poiché più gruppi rivendicano la responsabilità della stessa vittima.

L'aumento dell'estorsione basata sulla sola esfiltrazione dei dati segna un cambiamento cruciale nelle priorità della sicurezza informatica. Le organizzazioni devono ora concentrarsi sul rafforzamento delle strategie di prevenzione delle fughe di dati (DLP) sfruttando sistemi avanzati di monitoraggio e rilevamento per identificare e mitigare le potenziali violazioni in anticipo. Poiché gli incentivi finanziari e

operativi per gli attacchi di sola esfiltrazione dei dati continuano a crescere, questa tendenza probabilmente persisterà quest'anno, poiché sempre più gruppi ransomware adotteranno queste tattiche per semplificare le operazioni ed eludere il rilevamento.

NAVIGARE NEL PANORAMA IN EVOLUZIONE DEI RANSOMWARE Il panorama dei ransomware nel 2024 riflette un ambiente di minacce dinamico e sempre più complesso. I successi delle forze dell'ordine contro i principali gruppi hanno aperto le porte a nuovi attori, con RansomHub si afferma come il più importante. Al tempo stesso, l'erosione dei confini etici relativi agli attacchi alle organizzazioni sanitarie evidenzia una crescente spietatezza tra gli attori delle minacce. In più, il passaggio strategico dall'estorsione basata sulla crittografia alla DXF apre a nuove sfide, richiedendo alle aziende di adattare le proprie strategie difensive per concentrarsi sulla protezione dei dati, sul monitoraggio e sul rilevamento rapido delle minacce.

L'ecosistema del ransomware

19

L'ascesa degli infostealer

TENDENZE DELLA CYBER SECURITY 03

EVENTI DI SICUREZZA INFORMATICA 202402

INTRODUZIONE01

PREVISIONI DEL SETTORE PER IL 202507

RACCOMANDAZIONI DEI CISO 08

ANALISI GLOBALE04

VULNERABILITÀ DI ALTO PROFILO05

PROSPETTIVA DI RISPOSTA AGLI INCIDENTI06

Guerre cibernetiche Edizione 2024

Complessità del cloud

Dispositivi EDGE e ORB

LO STATO DELLA SICUREZZA INFORMATICA 202519

https://www.coveware.com/blog/2024/4/17/raas-devs-hurt-their-credibility-by-cheating-affiliates-in-q1-2024 https://www.coveware.com/blog/2024/4/17/raas-devs-hurt-their-credibility-by-cheating-affiliates-in-q1-2024

Mentre esaminiamo il panorama informatico nel 2024, gli infostealer sono sotto i riflettori. Ciò non è dovuto solo all'evoluzione dei loro metodi e delle loro tattiche, ma anche al fatto che il più ampio ecosistema criminale è maturato e specializzato, rendendo le minacce più efficaci. Gli infostealer hanno acquisito un potere notevole grazie alla loro capacità di gestire, elaborare rapidamente e vendere in modo efficiente grandi quantità di registri. Rappresentano il primo passo verso violazioni della rete aziendale su vasta scala. Un aspetto cruciale della distribuzione degli infostealer è che si basa essenzialmente su un approccio "spray-and-pray" piuttosto che puntare direttamente alla rete aziendale. Nonostante questa strategia, uno dei suoi obiettivi principali è quello di estrarre le credenziali per l'accesso alle risorse aziendali che si basano sul BYOD (Bring Your Own Device). Cyberint, una società Check Point , riferisce che oltre il 70% dei dispositivi infettati dagli infostealer sono personali piuttosto che aziendali o gestiti.

DEFINIZIONE DEGLI INFOSTEALER Gli infostealer, spesso abbreviati in "stealer", sono malware progettati per estrarre segretamente dati sensibili da sistemi compromessi, prendendo di mira principalmente i dati del browser. Possono anche esfiltrare i file dalle macchine infette e acquisire schermate. Gli stealer vengono diffusi tramite e-mail phishing o download dannosi. Una volta infiltrati in un computer, possono raccogliere un'ampia gamma di informazioni preziose che possono essere utilizzate per ulteriori crimini informatici o attività fraudolente. Ciò include nomi utente e password, informazioni finanziarie, configurazioni di sistema, cookies del browser e portafogli di criptovaluta. Gli infostealer sono commercializzati sul

DAI LOG DI INFOSTEALER ALLE VIOLAZIONI COMPLETE: LA POTENZA DEGLI INFOSTEALER IN UN ECOSISTEMA MATURO DEL CRIMINE INFORMATICO Con il declino delle grandi botnet e delle banche malware, gli infostealer sono emersi come il nuovo Big Bad, ora distribuito attraverso campagne su larga scala. Una rapida ricerca sul mercato russo, uno dei più grandi mercati criminali clandestini, rivela che oltre 10 milioni di log di infostealer sono attualmente disponibili per l'acquisto. Questi registri contengono credenziali utente rubate, token di autenticazione e dati sensibili. I criminali informatici possono utilizzarli come potenti strumenti per rubare fondi da individui, furto di identità o violare la rete informatica in tutto il mondo.

Figura 11 - Una discussione di un forum del darkweb che promuove la vendita dell' Infostealer Lumma.

L'ascesa degli infostealer

TENDENZE DELLA CYBER SECURITY 03

EVENTI DI SICUREZZA INFORMATICA 202402

INTRODUZIONE01

PREVISIONI DEL SETTORE PER IL 202507

RACCOMANDAZIONI DEI CISO 08

ANALISI GLOBALE04

VULNERABILITÀ DI ALTO PROFILO05

PROSPETTIVA DI RISPOSTA AGLI INCIDENTI06

Guerre cibernetiche Edizione 2024

L'ecosistema del ransomware

Complessità del cloud

Dispositivi EDGE e ORB

LO STATO DELLA SICUREZZA INFORMATICA 202520

Dark Web come malware-as-a-Service (MaaS), in cui gli acquirenti ricevono assistenza clienti, aggiornamenti regolari e documentazione dettagliata, riducendo la barriera all'ingresso per gli aspiranti criminali informatici.

IL MERCATO DEGLI INFOSTEALER Il mercato degli infostealer è robusto e decisamente competitivo, con prezzi che riflettono la ricercatezza del prodotto e il livello di supporto offerto dagli sviluppatori. Per esempio, RedLine Stealer è disponibile per circa $ 150 al mese, StealC costa circa $ 200 e il prezzo di Lumma è di circa $ 250. Gli attori delle minacce che gestiscono questi servizi malware, spesso indicati come "affiliati", acquistano licenze e utilizzano i ladri in singole campagne di infezione all'interno del modello MaaS. I dati, o "registri", raccolti dagli affiliati, sono costituiti da lotti di informazioni rubate da singoli

computer. I log vengono poi venduti o scambiati su piattaforme come Telegram o mercati criminali clandestini come il mercato russo, in genere per circa $ 10 ciascuno. Le informazioni rubate alimentano attività illecite, tra cui frodi finanziarie, furti di identità e ulteriori attacchi informatici, perpetuando così un più ampio ecosistema del crimine informatico.

I token di sessione e i cookies sono tra i tipi di dati più desiderabili raccolti dagli infostealer. Questi artefatti sono particolarmente utili perché forniscono l'accesso immediato agli account degli utenti senza la necessità di credenziali di accesso. L'acquisizione di log "freschi" o rubati di recente è fondamentale, poiché i cookies di sessione attivi sono sensibili al fattore tempo. Se raccolti e venduti tempestivamente, possono dirottare le sessioni in corso e bypassare i meccanismi di autenticazione a più fattori (MFA) su cui si basano molti sistemi di sicurezza. Molti criminali informatici spesso analizzano i dati ottenuti dagli infostealer per scoprire le credenziali degli account aziendali. Queste credenziali possono fornire un punto d'appoggio iniziale all'interno di

una rete aziendale o concedere l'accesso a risorse critiche. Gli obiettivi spesso includono credenziali e token per account VPN, account Microsoft 365, sistemi di messaggistica aziendale e altro ancora.

Per affrontare questo significativo rischio per la sicurezza, Google ha introdotto la crittografia App-Bound a luglio. Tuttavia, a settembre, diversi infostealer avevano già adottato tecniche per aggirare questa protezione e decrittografare i dati sensibili rubati.

La necessità di un rapido utilizzo evidenzia un altro aspetto cruciale per il quale i fornitori di infostealer competono tra loro: un efficiente presentazione e classificazione dei dati rubati. Vengono sviluppati pannelli di gestione avanzati e meccanismi di download per fornire agli affiliati un accesso rapido e chiaro ai registri. Alcuni sistemi offrono lo streaming automatico dei log ai canali Telegram, consentendo lo sfruttamento quasi in tempo reale dei token di sessione live. Interfacce utente efficaci non solo facilitano l'accesso rapido, ma analizzano ed evidenziano automaticamente le credenziali di alto valore, migliorando l'efficienza e l'attrattiva del malware per gli affiliati.

L'infrastruttura che supporta queste attività dannose è spesso onnicomprensiva e gestita dagli stessi fornitori di MaaS. Questa infrastruttura può includere un meccanismo per l'autenticazione del pannello, server di comando e controllo

Figura 12 - Registri di Lumma Stealer rubati da un computer francese per la vendita sul mercato russo.

Figura 13 - Panoramica del pannello Steal C.

L'ascesa degli infostealer

TENDENZE DELLA CYBER SECURITY 03

EVENTI DI SICUREZZA INFORMATICA 202402

INTRODUZIONE01

PREVISIONI DEL SETTORE PER IL 202507

RACCOMANDAZIONI DEI CISO 08

ANALISI GLOBALE04

VULNERABILITÀ DI ALTO PROFILO05

PROSPETTIVA DI RISPOSTA AGLI INCIDENTI06

Guerre cibernetiche Edizione 2024

L'ecosistema del ransomware

Complessità del cloud

Dispositivi EDGE e ORB

LO STATO DELLA SICUREZZA INFORMATICA 202521

https://www.bleepingcomputer.com/news/security/google-chrome-adds-app-bound-encryption-to-block-infostealer-malware/ https://www.bleepingcomputer.com/news/security/google-chrome-adds-app-bound-encryption-to-block-infostealer-malware/ https://www.bleepingcomputer.com/news/security/new-tool-bypasses-google-chromes-new-cookie-encryption-system/

MONETIZZAZIONE ED ECOSISTEMA CRIMINALE INFORMATICO Per comprendere appieno l'impatto degli infostealer,

dobbiamo esaminare il loro ruolo all'interno del più ampio ecosistema criminale informatico. Molti operatori di infostealer dipendono dai clienti e da canali di distribuzione efficaci per monetizzare i dati che rubano. I mercati clandestini e i canali Telegram forniscono piattaforme immediate in cui i venditori possono offrire i dati rubati e gli acquirenti possono cercare in modo efficiente registri specifici che si adattano ai loro obiettivi.

Gli Initial Access Broker (IAB) sfruttano queste informazioni per ottenere i primi punti d'appoggio nella rete aziendale.

(C2) che forniscono plug-in e aggiornamenti aggiuntivi e posizioni sicure per l'archiviazione e il download dei dati rubati. La dipendenza da un'infrastruttura estesa a volte può rivelarsi il tallone d'Achille del malware, poiché le forze dell'ordine possono prendere di mira e sequestrare queste risorse per interrompere le operazioni MaaS.

LA DISTRIBUZIONE DEGLI INFOSTEALER Le campagne Infostealer sono guidate da affiliati che acquistano licenze dagli sviluppatori e gestiscono in modo indipendente campagne di infezione. Per diffondere il malware, impiegano metodi creativi, tra cui e-mail phishing, malvertising, distribuzione di software falsi o crackati, pubblicità ingannevoli e siti web contraffatti che imitano piattaforme legittime come servizi di criptovaluta, strumenti IA e applicazioni con software condivisi. Gli affiliati possono anche sfruttare piattaforme come GitHub per ospitare depositi dannosi, come si vede nelle campagne che utilizzano account fraudolenti per diffondere infostealer famosi. Altre tattiche prevedono modelli di phishing che prendono di mira gli utenti che cercano software crackato, CAPTCHA false progettate per indurre gli utenti a scaricare malware e annunci Google dannosi che reindirizzano a siti di download contraffatti. A differenza degli sviluppatori, che si concentrano sulla creazione e l'aggiornamento del malware, gli affiliati determinano interamente la distribuzione, dando vita a un'ampia gamma di campagne di infezione innovative.

Figura 14 - Annuncio che offre l'accesso alle reti aziendali.

L'accesso ottenuto tramite credenziali rubate è molto prezioso e può essere ulteriormente monetizzato. In molti casi, gli IAB rivendono l'accesso a obiettivi accuratamente selezionati su altri forum, attirando affiliati di ransomware desiderosi di sfruttare queste opportunità. Questi affiliati distribuiscono dunque i ransomware, spesso acquisiti da fornitori di ransomware-as-a-Service (RaaS), per eseguire i loro attacchi.

I fondi generati dagli attacchi ransomware riusciti alimentano l'intero ecosistema. I dati personali rubati offrono altre strade redditizie per i criminali informatici. Le informazioni di identificazione personale (PII), i dettagli finanziari e i numeri di carta di credito possono essere utilizzati per furti di identità, frodi e transazioni non autorizzate con conseguente Business Email Compromise (BEC). Tutte queste attività si basano su un'infrastruttura criminale matura e funzionante che facilita lo scambio, la vendita e lo sfruttamento dei dati rubati.

90% DELLE AZIENDE VIOLATE IN PRECEDENZA AVEVA PERSO CREDENZIALI AZIENDALI IN UN REGISTRO DEGLI STEALER

L'ascesa degli infostealer

TENDENZE DELLA CYBER SECURITY 03

EVENTI DI SICUREZZA INFORMATICA 202402

INTRODUZIONE01

PREVISIONI DEL SETTORE PER IL 202507

RACCOMANDAZIONI DEI CISO 08

ANALISI GLOBALE04

VULNERABILITÀ DI ALTO PROFILO05

PROSPETTIVA DI RISPOSTA AGLI INCIDENTI06

Guerre cibernetiche Edizione 2024

L'ecosistema del ransomware

Complessità del cloud

Dispositivi EDGE e ORB

LO STATO DELLA SICUREZZA INFORMATICA 202522

https://securelist.com/tusk-infostealers-campaign/113367/ https://securelist.com/tusk-infostealers-campaign/113367/ https://research.checkpoint.com/2024/stargazers-ghost-network/ https://research.checkpoint.com/2024/stargazers-ghost-network/ https://www.mcafee.com/blogs/other-blogs/mcafee-labs/behind-the-captcha-a-clever-gateway-of-malware/ https://www.malwarebytes.com/blog/news/2024/06/poseidon-mac-stealer-distributed-via-google-ads

Le credenziali e i cookies di sessione rubati dai computer di casa dei dipendenti possono essere utilizzati per violare la rete aziendale. Uno studioha rivelato che il 90% delle aziende violate aveva credenziali aziendali trapelate in un registro dei ladri prima della violazione. Questa statistica sottolinea il ruolo fondamentale che gli infostealer svolgono nel consentire attacchi informatici più significativi e sottolinea l'importanza di affrontare questa minaccia nel più ampio contesto della sicurezza informatica.

All'inizio di quest'anno, la mega violazione dei dati Snowflake ha esposto informazioni sensibili provenienti da oltre 165 aziende, tra cui Advance Auto Parts, Ticketmaster e Santander

Bank, colpendo milioni di clienti. Molto probabilmente la violazione è iniziata con le credenziali estratte dagli infostealer e vendute online.

ANALISI DEGLI INFOSTEALER ALLO STATO SELVAGGIO Un'analisi dei log offerti in vendita su piattaforme come il mercato russo rivela quali infostealer sono più prolifici in termini di dati raccolti. Lumma Stealer, segnalato per la prima volta nel 2022, è attualmente l'infostealer più importante, con il maggior numero di log disponibili per la vendita. RisePro, Vidar e StealC lo seguono. Questi dati suggeriscono che queste famiglie di malware sono state particolarmente efficaci nelle recenti campagne o hanno canali di distribuzione estesi.

Le intuizioni derivanti dall'analisi dei dati del gateway Check Point rivelano una prospettiva diversa sull'attività degli infostealer. In questi set di dati, AgentTesla emerge come l'infostealer più attivo, seguito da vicino da FormBook (le statistiche dettagliate sono fornite nel prossimo capitolo). Le differenze tra queste fonti di dati possono essere attribuite ai

tipi di vittime analizzate. I dati di Check Point si concentrano principalmente sulle entità aziendali, mentre i dati del mercato russo comprendono uno spettro più ampio di vittime, la maggior parte delle quali sono utenti di dispositivi personali.

Un'ulteriore analisi dei dati da parte di Cyberint, una società di Check Point, evidenzia le principali credenziali URL rubate dalle macchine infette. Sebbene molti di questi URL appartengano ai principali servizi Internet e piattaforme di social media, come previsto, altri siti visitati di frequente includono Roblox, Discord, Twitch ed EpicGames. Ciò suggerisce che i "giocatori" potrebbero essere più suscettibili alle infezioni da infostealer, probabilmente a causa di pratiche igieniche Internet meno rigorose in queste comunità.

Un'altra osservazione significativa è la traiettoria di crescita di specifiche famiglie di malware. Per esempio, la prevalenza dello stealer RedLine è più che quadruplicata negli ultimi tre anni.

L'aumento degli infostealer può essere attribuito alla diminuzione della popolarità delle botnet. A maggio, un'operazione della coalizione chiamata "Endgame" ha preso di mira le infrastrutture delle botnet utilizzate per

Lumma

51%

Risepro

15%

Vidar

13%

StealC

10%

RedLine

8%

Racoon

3%

Figura 15 - Registri sul mercato russo per famiglia di infostealer (Novembre 2024).

Jan NovSepJulMar May Jan NovSepJulMar May

202420232022

NovSepJulMar MayJan

Total

Figura 17 - Registri RedLine trovati sui canali Telegram tracciati 2022-2024 (Cyberint, a Check Point Company).

Figura 16 - Principali URL che appaiono nei dati infostealer, secondo i dati di Cyberint, una società di Check Point.

accounts.google.com facebook.com roblox.com login.live.com instagram.com netflix.com discord.com login.microsoftonline.com amazon.com paypal.com twitch.tv twitter.com epicgames.com

1

13

L'ascesa degli infostealer

TENDENZE DELLA CYBER SECURITY 03

EVENTI DI SICUREZZA INFORMATICA 202402

INTRODUZIONE01

PREVISIONI DEL SETTORE PER IL 202507

RACCOMANDAZIONI DEI CISO 08

ANALISI GLOBALE04

VULNERABILITÀ DI ALTO PROFILO05

PROSPETTIVA DI RISPOSTA AGLI INCIDENTI06

Guerre cibernetiche Edizione 2024

L'ecosistema del ransomware

Complessità del cloud

Dispositivi EDGE e ORB

LO STATO DELLA SICUREZZA INFORMATICA 202523

https://flare.io/learn/resources/breached-identities-and-infostealers-one-of-the-largest-ongoing-data-leak-in-history/ https://flare.io/learn/resources/breached-identities-and-infostealers-one-of-the-largest-ongoing-data-leak-in-history/ https://www.wired.com/story/infostealer-malware-password-theft/ https://www.europol.europa.eu/media-press/newsroom/news/largest-ever-operation-against-botnets-hits-dropper-malware-ecosystem#empact

SERGEY SHYKEVICH

Intelligence sulle minacce Responsabile del gruppo

In seguito al declino delle grandi botnet, gli infostealer sono diventati una minaccia importante e su larga scala. Offrono ai criminali informatici modi efficienti per rubare credenziali e token di sessione, contribuendo a frodi finanziarie e furti di identità e fungendo da punto di accesso alla rete aziendale. Poiché le aziende adottano sempre più spesso il lavoro a distanza e le politiche BYOD (Bring Your Own Device), è essenziale che implementino strategie di protezione.

log consentono agli IAB di identificare rapidamente i potenziali punti di ingresso alla rete aziendale, spesso bypassando i meccanismi MFA con cookies di sessione validi rubati trovati sui dispositivi personali.

Per contrastare queste minacce in evoluzione, le aziende devono estendere le loro misure di sicurezza per coprire la superficie estesa, che comprendono i punti di accesso dei dipendenti. Le aziende dovrebbero cercare attivamente indicazioni di elementi relativi all'azienda venduti sui mercati criminali per prevenire potenziali violazioni. Ampliando le strategie di protezione e restando vigili, le aziende possono rafforzare le proprie difese contro le minacce sofisticate e interconnesse poste dai moderni infostealer.

Rest of World 55%

India 10% Brazil

8%

Vietnam2% Thailand3%

Philippines3% Turkey4%

Egypt 5%

Pakistan 5%

Indonesia 5%

Figura 18 - Registri sul mercato russo, per paese di origine.

distribuire malware, concentrandosi su gruppi come IcedID, Smokeloader, Pikabot, Bumblebee, SystemBC e Trickbot. Come risultato di Endgame, oltre 100 server sono stati smantellati e più di 2.000 domini utilizzati da questi criminali informatici sono stati sequestrati. Queste botnet hanno precedentemente svolto un ruolo centrale nella distribuzione del malware e la loro interruzione ha avuto un impatto drammatico sull'ecosistema, contribuendo indirettamente all'ascesa degli infostealer.

La popolarità degli infostealer non è passata inosservata alle coalizioni internazionali delle forze dell'ordine. Due famiglie di infostealer strettamente correlate, RedLine e Meta, sono state al centro di un'importante operazione delle forze dell'ordine nota come "Magnus". A ottobre, questa operazione ha portato al sequestro di più server e domini associati a questi ceppi di malware.

Anche l'analisi geografica dei registri messi in vendita fornisce importanti intuizioni. Una parte sostanziale dei registri sul mercato russo proviene dall'India e dal Brasile.

Sebbene la tecnologia Infostealer non si sia evoluta

estremamente nell'ultimo anno, l'ambiente in cui opera il malware si è decisamente trasformato. Gli infostealer ora occupano una posizione di rilievo nel panorama delle offensive informatiche. La maturazione del mercato dei prodotti infostealer e dei log che generano consente agli IAB di cercare e sfruttare in modo efficiente credenziali preziose, consentendo loro di violare la rete aziendale.

COMBATTERE GLI INFOSTEALER: RAFFORZARE LA SICUREZZA AZIENDALE NELL'ERA DEL LAVORO DA REMOTO La potenziale superficie di attacco aziendale si è ampliata con l'adozione diffusa del lavoro a distanza e delle politiche BYOD, poiché i dipendenti accedono alle risorse aziendali dal dispositivo personale, estendendo la rete aziendale ai singoli ambienti domestici. La consegna rapida e la ricercabilità dei

L'ascesa degli infostealer

TENDENZE DELLA CYBER SECURITY 03

EVENTI DI SICUREZZA INFORMATICA 202402

INTRODUZIONE01

PREVISIONI DEL SETTORE PER IL 202507

RACCOMANDAZIONI DEI CISO 08

ANALISI GLOBALE04

VULNERABILITÀ DI ALTO PROFILO05

PROSPETTIVA DI RISPOSTA AGLI INCIDENTI06

Guerre cibernetiche Edizione 2024

L'ecosistema del ransomware

Complessità del cloud

Dispositivi EDGE e ORB

LO STATO DELLA SICUREZZA INFORMATICA 202524

https://cyberscoop.com/redline-meta-operation-magnus-infostealers/

LA COMPLESSITÀ DELL'AMMINISTRAZIONE CLOUD La complessità della gestione dell'infrastruttura cloud aggiunge un livello significativo di vulnerabilità che non può essere risolto con una semplice patch. L'ecosistema in rapida evoluzione e la moltitudine di fornitori di servizi cloud, ognuno dei quali offre decine di servizi, terminologie e meccanismi di sicurezza, creano una complessità difficile da gestire. Di conseguenza, gli amministratori sono spesso sopraffatti dalla quantità di impostazioni e configurazioni necessarie per proteggere i loro ambienti in modo efficace. Ciò porta all'esposizione di risorse online o ambienti penetrabili che consentono facili percorsi di escalation dei privilegi.

Un esempio di tale complessità di gestione può essere visto con le identità non umane (account di servizio, chiavi API, utenti integrati, ecc.), che si sono rivelate difficili da proteggere. Nel gennaio 2024, Microsoft non è riuscita a proteggere il proprio ambiente Azure quando un gruppo avanzato di minacce statali, Midnight Blizzard, ha violato l'ambiente di produzione di Microsoft tramite configurati in modo sbagliato. Ciò ha consentito agli aggressori di passare dagli ambienti di test a quelli di produzione e di accedere ai sistemi interni, al codice sorgente e alle e-mail dei dirigenti Microsoft.

Errori di configurazione noti e scarse pratiche di sicurezza continuano a svolgere un ruolo significativo nel guidare le violazioni dei dati su larga scala. Per esempio, in India, 500 GB di informazioni personali e dati biometrici di milioni di individui, tra cui forze dell'ordine e personale militare, sono stati esposti su un bucket S3 configurato in modo sbagliato. Anche l'alternativa al bucket S3 di Microsoft, Azure Blob Storage containers, è suscettibile di configurazioni errate. Un dipendente di Fujitsu ha esposto grandi quantità di dati sensibili, tra cui informazioni private sui clienti, e-mail, chiavi AWS e password in chiaro. Allo stesso modo, BMW ha subito l'esposizione di un container di archiviazione, perdendo chiavi segrete per l'accesso a bucket privati e credenziali per altri servizi cloud.

Nell'ambito delle scarse pratiche di sicurezza API, gli sviluppatori di Rabbit R1, un dispositivo di assistente personale basato sull'intelligenza artificiale, sonostati informati dopo che sono state trovate chiavi di API codificate per servizi di terze parti nella loro base di codice. Queste chiavi erano eccessivamente permissive, concedendo essenzialmente la possibilità di leggere tutte le risposte nelle chat di ogni cliente, rivelando potenzialmente informazioni sensibili.

CLOUD: LA SUPERFICIE DI ATTACCO IN CONTINUA ESPANSIONE L'infrastruttura cloud è diventata parte integrante dei framework IT della maggior parte delle aziende nel 2024. Le imprese di tutte le dimensioni ora sfruttano la scalabilità e la flessibilità offerte dal cloud per supportare le loro esigenze operative come i servizi di posta elettronica, le operazioni di sviluppo, l'archiviazione dei dati e i servizi di produzione di hosting. Il cloud consente alle organizzazioni di implementare e scalare rapidamente i propri ambienti in base alle proprie esigenze. Allo stesso tempo, questa adozione diffusa ha portato a una nuova serie di vulnerabilità di sicurezza che vengono sempre più sfruttate dagli attori delle minacce.

Guerre cibernetiche Edizione 2024

L'ecosistema del ransomware

L'ascesa degli infostealer

Complessità del cloud

ANALISI GLOBALE04

Dispositivi EDGE e ORB

LO STATO DELLA SICUREZZA INFORMATICA 202525

PREVISIONI DEL SETTORE PER IL 202507

RACCOMANDAZIONI DEI CISO 08

ANALISI GLOBALE04

L'ECOSISTEMA DEL RANSOMWARE05

L'ASCESA DEGLI INFOSTEALER06

TENDENZE DELLA CYBER SECURITY 03

EVENTI DI SICUREZZA INFORMATICA 202402

INTRODUZIONE01

https://msrc.microsoft.com/blog/2024/03/update-on-microsoft-actions-following-attack-by-nation-state-actor-midnight-blizzard/ https://msrc.microsoft.com/blog/2024/03/update-on-microsoft-actions-following-attack-by-nation-state-actor-midnight-blizzard/ https://www.wiz.io/blog/midnight-blizzard-microsoft-breach-analysis-and-best-practices https://hackread.com/data-leak-indian-police-military-biometric-data/ https://www.thestack.technology/fujitsu-breach-cloud-buckets/ https://techcrunch.com/2024/02/14/bmw-security-lapse-exposed-sensitive-company-information-researcher-finds/ https://www.theverge.com/2024/6/26/24186614/rabbit-r1-security-flaw-api-key-codebase https://www.theverge.com/2024/6/26/24186614/rabbit-r1-security-flaw-api-key-codebase

L'assenza di solidi controlli di autenticazione e accesso in alcune aziende, in particolare la mancanza di autenticazione a più fattori (MFA) per i servizi cloud, ha contribuito a un significativo incidente di perdita di dati quest'anno. Gli aggressori hanno preso di mira Snowflake, una piattaforma di data warehousing nel cloud, utilizzando nomi utente e password ottenuti tramite vari infostealer. Ciò ha permesso loro di accedere agli account Snowflake di almeno 165 aziende, esfiltrare dati sensibili ed emettere richieste di estorsione.

I PERICOLI DEGLI AMBIENTI IBRIDI L'integrazione delle risorse locali con i servizi cloud tramite provider di gestione delle identità e degli accessi (IAM), ad esempio Microsoft Entra ID, è diventata una procedura standard. Queste configurazioni mirano a semplificare IAM e abilitare l'autenticazione Single Sign-On (SSO). Tuttavia, queste integrazioni sono diventate anche obiettivi primari per gli attacchi informatici, data la loro capacità di facilitare il movimento laterale bidirezionale. Mentre le organizzazioni traggono vantaggio dalla distribuzione dei propri dati e risorse tra i sistemi cloud e on-premise, gli aggressori sfruttano gli stessi percorsi per distribuire attacchi distruttivi, esfiltrare dati sensibili o stabilire backdoor all'interno delle organizzazioni.

Le aziende che utilizzano servizi di posta elettronica basati su cloud come Microsoft 365 hanno scoperto che la rete locale compromessa può anche esporre le proprie risorse cloud . Quando i malintenzionati ottengono il controllo di un ambiente locale, possono passare ad ambienti cloud tramite diversi percorsi, ad esempio Azure server AD Connect (tramite l'utente Microsoft Entra Connect Sync) o account utente ibridi. Ad esempio, nel 2024, l'attore di minacce Storm-0501, spinto da interessi finanziari, ha lanciato attacchi in più fasi che hanno compromesso gli ambienti cloud ibridi, hanno eseguito il movimento laterale dall'on-premise al cloud e hanno distribuito account backdoor prima di lanciare ransomware in tutta la rete. La stessa tattica è stata utilizzata nel 2023, quando un gruppo di minacce con sede in Iran, Mango Sandstorm (alias Mercury) e Storm-1084, ha preso di mira le organizzazioni israeliane. Gli aggressori hanno sfruttato il passaggio agli ambienti cloud per scaricare le conversazioni e-mail, inviare e-mail e distribuire attacchi distruttivi sulle risorse cloud .

In un altro caso, un attore di minacce spinto da interessi finanziari chiamato UNC3944 (alias Scattered Spider) ha sfruttato gli account SSO Okta con privilegi elevati per

estendere la loro intrusione dall'infrastruttura on-premise a più cloud e SaaS applicazioni, tra cui vCenter, CyberArk, SalesForce, Azure, CrowdStrike, AWSe GCP. L'aggressore potrebbe quindi eseguire ispezioni di ricognizione del portale Web Okta per identificare le applicazioni disponibili, eseguire assegnazioni di ruoli a queste applicazioni e quindi spostarsi lateralmente attraverso più provider di cloud e le risorse delle vittime.

ACCOUNT SSO SOTTO ATTACCO Proteggere gli account SSO è diventato un compito sempre più preoccupante e scoraggiante. Gli attori delle minacce, in particolare i gruppi di minacce avanzate, stanno conducendo credential stuffing su larga scala e attacchi di brute force "bassi e lenti" ai provider SSO e ai servizi cloud . Nell'aprile 2024, i ricercatori di Okta hanno osservato una significativa operazione di credential stuffing contro il proprio servizio, in cui gli aggressori hanno utilizzato servizi proxy residenziali e altri anonimizzatori per evitare il rilevamento. Allo stesso modo, i ricercatori di Microsoft hanno segnalato un gruppo avanzato di lingua cinese che ha sfruttato migliaia di dispositivi SOHO compromessi per eseguire attacchi password spraying a basso volume sugli account dietro l'SSO di Microsoft, tentando solo una o due password al giorno per account utente.

Poiché le aziende dipendono da provider SSO esterni per la protezione da attacchi di brute force e altre tecniche dannose, si fidano anche dei registri dei provider e della visibilità globale per rilevare attività sospette. Questa dipendenza solleva preoccupazioni in merito alla dipendenza da procedure di sicurezza di terze parti, manifestate nel rapporto di settembre di Microsoft secondo cui alcuni clienti hanno ricevuto solo una raccolta parziale dei log a causa di un problema di sistema.

LA POPOLARITÀ DELL'INTELLIGENZA ARTIFICIALE L'intelligenza artificiale ha un impatto anche sul cloud, poiché le soluzioni di intelligenza artificiale generativa (GenAI) sono offerte come servizio da tutti i principali fornitori di servizi cloud (CSP). Le aziende scelgono soluzioni di modelli linguistici di grandi dimensioni (LLM) dai CSP invece di utilizzare i servizi GenAI come ChatGPT direttamente tramite un API per vari motivi. Ad esempio, possono creare,

Guerre cibernetiche Edizione 2024

L'ecosistema del ransomware

L'ascesa degli infostealer

Complessità del cloud

ANALISI GLOBALE04

Dispositivi EDGE e ORB

LO STATO DELLA SICUREZZA INFORMATICA 202526

PREVISIONI DEL SETTORE PER IL 202507

RACCOMANDAZIONI DEI CISO 08

ANALISI GLOBALE04

L'ECOSISTEMA DEL RANSOMWARE05

L'ASCESA DEGLI INFOSTEALER06

TENDENZE DELLA CYBER SECURITY 03

EVENTI DI SICUREZZA INFORMATICA 202402

INTRODUZIONE01

https://thehackernews.com/2024/06/snowflake-breach-exposes-165-customers.html https://www.microsoft.com/en-us/security/blog/2024/09/26/storm-0501-ransomware-attacks-expanding-to-hybrid-cloud-environments/ https://www.microsoft.com/en-us/security/blog/2023/04/07/mercury-and-dev-1084-destructive-attack-on-hybrid-environment/ https://cloud.google.com/blog/topics/threat-intelligence/unc3944-targets-saas-applications https://sec.okta.com/blockanonymizers https://www.microsoft.com/en-us/security/blog/2024/10/31/chinese-threat-actor-storm-0940-uses-credentials-from-password-spray-attacks-from-a-covert-network/ https://www.bleepingcomputer.com/news/security/microsoft-warns-it-lost-some-customers-security-logs-for-a-month/ https://www.bleepingcomputer.com/news/security/microsoft-warns-it-lost-some-customers-security-logs-for-a-month/

MICHAEL ABRAMZON

Architetto di ricerca e intelligence delle minacce

Con la crescita costante delle offerte su cloud, aumenta anche la superficie di attacco del cloud. I recenti incidenti evidenziano la necessità di una gestione continua della postura e di prevenzione delle minacce proattive in ambienti ibridi e multicloud per rilevare e bloccare gli attacchi sofisticati

addestrare e distribuire modelli personalizzati su misura per le loro specifiche esigenze aziendali o utilizzare la Retrieval- Augmented Generation (RAG) per integrare le loro basi di conoscenza e set di dati proprietari. Un altro motivo è la privacy e la protezione dei dati; sfruttando le soluzioni basate su CSP, le aziende hanno un maggiore controllo sui propri dati, garantendo che il contenuto della chat non venga utilizzato per addestrare modelli pubblici.

Gli attori delle minacce troveranno sicuramente il modo di sfruttare queste nuove tecnologie per il proprio vantaggio finanziario. Fino a poco tempo fa, gli attori si concentravano principalmente sul dirottamento delle risorse cloud per eseguire il crypto jacking (crypto mining) su un singolo server vulnerabile o su un cluster Kubernetes. Quest'anno, gli aggressori hanno trovato una nuova opportunità chiamata LLMjacking. Dopo che un account cloud è stato compromesso, gli aggressori prendono il controllo dei modelli LLM ospitati esistenti o tentano di distribuirne di nuovi. In un caso, gli aggressori hanno utilizzato un proxy LLM per rivendere l'accesso a questi LLM a terzi. In un altro caso, gli aggressori hanno combinato i jailbreak LLM, una tecnica per rimuovere le limitazioni sugli argomenti di chat vietati, per vendere personaggi chatbot di giochi di ruolo non censurati che erano NSFW.

Poiché i gruppi di minacce collegati agli stati che provengono da Russia, Cina e Iran sono stati "scoperti" da Microsoft e OpenAI ad abusare di ChatGPT per ricercare argomenti avanzati, creare strumenti e trovare vulnerabilità, alcuni attori delle minacce potrebbero passare a istanze LLM private per una maggiore sicurezza operativa.

SFIDE DI SICUREZZA NELL'INFRASTRUTTURA CLOUD Gli incidenti di quest'anno mettono in luce le sfide essenziali per la sicurezza che emergono dall'adozione diffusa dell'infrastruttura cloud. L'amministrazione complessa, le configurazioni errate e le vulnerabilità negli ambienti ibridi hanno portato a violazioni significative. Man mano che le tecnologie cloud continuano a evolversi, lo faranno anche le tattiche di coloro che cercano di sfruttarle. Misure proattive saranno fondamentali per proteggere gli ambienti cloud sempre più complessi.

Guerre cibernetiche Edizione 2024

L'ecosistema del ransomware

L'ascesa degli infostealer

Complessità del cloud

ANALISI GLOBALE04

Dispositivi EDGE e ORB

LO STATO DELLA SICUREZZA INFORMATICA 202527

PREVISIONI DEL SETTORE PER IL 202507

RACCOMANDAZIONI DEI CISO 08

ANALISI GLOBALE04

L'ECOSISTEMA DEL RANSOMWARE05

L'ASCESA DEGLI INFOSTEALER06

TENDENZE DELLA CYBER SECURITY 03

EVENTI DI SICUREZZA INFORMATICA 202402

INTRODUZIONE01

https://sysdig.com/blog/llmjacking-stolen-cloud-credentials-used-in-new-ai-attack/ https://www.lacework.com/blog/detecting-ai-resource-hijacking-with-composite-alerts https://www.lacework.com/blog/detecting-ai-resource-hijacking-with-composite-alerts https://permiso.io/blog/exploiting-hosted-models https://permiso.io/blog/exploiting-hosted-models https://www.microsoft.com/en-us/security/blog/2024/02/14/staying-ahead-of-threat-actors-in-the-age-of-ai/

Tradizionalmente, i dispositivi edge sono stati un interesse primario per gli attori sponsorizzati dallo stato, in particolare quelli associati a gruppi di minaccia cinesi. Tuttavia, i gruppi di criminali informatici hanno sempre di più preso di mira questi beni, adottando tattiche simili per ottenere ritorni finanziari.

Nel 2024, il numero di vulnerabilità zero-day divulgate che interessano i dispositivi edge è aumentato in modo significativo, con oltre una dozzina destinata specificamente ai dispositivi di vari fornitori. Queste vulnerabilità hanno ricevuto un punteggio di rischio CVSS di otto o superiore, sottolineando la loro gravità critica e il potenziale impatto.

Uno sviluppo notevole è l'ascesa di botnet complesse utilizzate come ORB. Una delle più sofisticate è la Raptor Train, orchestrata dal gruppo APT cinese Flax Typhoon, che ha assemblato oltre 200.000 dispositivi compromessi, tra cui router SOHO, sistemi NAS e telecamere IP. Organizzata a più livelli, la struttura della botnet supporta un sistema di comando e controllo (C2) attraverso la piattaforma "Sparrow", consentendo operazioni remote, attacchi DDoS e spionaggio. Gli aggressori sfruttano sia la vulnerabilità zero-day che quella nota, creando un'infrastruttura di attacco scalabile e persistente con portata globale. Attraverso questi dispositivi, Flax Typhoon mantiene il controllo operativo, ponendo rischi significativi sia per gli enti del settore pubblico che per quello privato.

Flax Typhoon non è l'unico attore allineato alla Cina che opera attraverso gli ORB. Un altro attore sponsorizzato dallo stato legato alla Cina è Volt Typhoon, noto per aver preso di mira le infrastrutture essenziali degli Stati Uniti. Questo gruppo ha operato attraverso una rete diversa per nascondere le proprie attività. La KV-botnet è una sofisticata rete di router SOHO compromessi e dispositivi firewall che si rivolgono principalmente alle apparecchiature di fine vita (EoL) di produttori come Cisco e NetGear. Questa rete è utilizzata da diversi attori cinesi, complicando gli sforzi di attribuzione.

Oltre agli attori affiliati allo Stato, gli aggressori con un interesse economico utilizzano anche servizi proxy alimentati da dispositivi IoT ed EoL compromessi. La rete proxy Faceless, costruita su una botnet legacy chiamata TheMoon, comprende oltre 40.000 dispositivi compromessi. I criminali informatici utilizzano questi router meno recenti come nodi anonimizzanti per oscurare attività dannose come l'esfiltrazione di dati e il riempimento delle credenziali. La dipendenza dal dispositivo EoL sottolinea un rischio importante: migliaia di dispositivi non supportati rimangono vulnerabili alla compromissione, fornendo agli aggressori un'infrastruttura resiliente che elude le difese tradizionali.

L'EVOLUZIONE DELLA MINACCIA DEI DISPOSITIVI EDGE E DEGLI ORB Nell'ultimo anno, i criminali informatici e gli attori sponsorizzati dai governi hanno aumentato significativamente lo sfruttamento dei dispositivi edge come vettore di accesso iniziale. I dispositivi edge, come router, firewall e sistemi VPN, sono particolarmente interessanti data la mancanza di soluzioni di sicurezza dedicate. Vengono spesso sfruttati per creare un'infrastruttura di anonimizzazione, comunemente denominata Operational Relay Box (ORB). Gli ORB rappresentano un tipo di infrastruttura di rete che gli attori delle minacce informatiche utilizzano per rendere anonime e inoltrare le comunicazioni tra vari dispositivi, molti dei quali sono compromessi, creando canali nascosti che eludono il rilevamento.

Dispositivi EDGE e ORB

L'ascesa degli infostealer

TENDENZE DELLA CYBER SECURITY 03

EVENTI DI SICUREZZA INFORMATICA 202402

INTRODUZIONE01

PREVISIONI DEL SETTORE PER IL 202507

RACCOMANDAZIONI DEI CISO 08

ANALISI GLOBALE04

VULNERABILITÀ DI ALTO PROFILO05

PROSPETTIVA DI RISPOSTA AGLI INCIDENTI06

Guerre cibernetiche Edizione 2024

L'ecosistema del ransomware

Complessità del cloud

LO STATO DELLA SICUREZZA INFORMATICA 202528

https://blog.lumen.com/derailing-the-raptor-train/ https://blog.lumen.com/derailing-the-raptor-train/ https://www.microsoft.com/en-us/security/blog/2023/05/24/volt-typhoon-targets-us-critical-infrastructure-with-living-off-the-land-techniques/ https://www.microsoft.com/en-us/security/blog/2023/05/24/volt-typhoon-targets-us-critical-infrastructure-with-living-off-the-land-techniques/ https://blog.lumen.com/kv-botnet-dont-call-it-a-comeback/ https://blog.lumen.com/the-darkside-of-themoon/ https://blog.lumen.com/the-darkside-of-themoon/

Quest'anno, i dispositivi edge aziendali hanno dovuto affrontare sempre più lo sfruttamento zero-day poiché gli aggressori hanno continuato a riutilizzarli per una più ampia penetrazione della rete. All'inizio del 2024, sono state scoperte vulnerabilità di elevata gravità nei PAN-OS di Ivanti Connect Secure e GlobalProtect di Palo Alto Networks, consentendo l'esecuzione di codice in remoto e il bypass multifattoriale. Sia gli attori statali che i gruppi ransomware hanno sfruttato questi dispositivi come punti di ingresso per l'accesso e la compromissione di ambienti sensibili. Tali imprese zero-day nei dispositivi edge hanno conseguenze significative in quanto questi dispositivi non sono facilmente patchabili, dato il loro ruolo essenziale nel flusso di rete principale. Il patching del dispositivo edge può interrompere i servizi di rete per un certo periodo di tempo, il che può portare a significative conseguenze operative.

Alcuni attori sono ricorsi allo sfruttamento dei dispositivi edge come metodologia. Magnet Goblin, un attore spinto da interessi economici emerso per la prima volta nel 2024, si concentra sullo sfruttamento rapido delle vulnerabilità appena divulgate in dispositivi edge ampiamente utilizzati. Le loro

campagne hanno preso di mira Ivanti Connect Secure VPN e software popolari come Magento e Qlik Sense per distribuire malware personalizzati. Il toolkit di Magnet Goblin include NerbianRAT, un Trojan di accesso remoto multipiattaforma (RAT), e MiniNerbian, una backdoor Linux. L'enfasi dell'attore sullo sfruttamento rapido della vulnerabilità dei dispositivi edge mette in luce una tendenza più ampia negli attacchi spinti da interessi finanziari contro questi componenti essenziali, utilizzando strumenti come WARPWIRE, un JavaScript che ruba le credenziali per accedere ai dati sensibili in tempo reale.

Anche il servizio SSLVPN di Check Point è stato preso di mira attraverso la vulnerabilità di attraversamento del percorso identificata come CVE-2024-24919. Questo exploit ha consentito agli aggressori di accedere e leggere i file sul dispositivo SSLVPN, inclusi gli hash delle password sensibili e i file di configurazione. Quando questi dispositivi sono configurati con metodi di autenticazione più deboli, come l'accesso con nome utente e password, sono soggetti a letture di dati non autorizzate. Questo attacco mostra l'attenzione in continua evoluzione sui dispositivi edge da parte di diversi

Compromised Assets

Anonymous ORB Platform

ORB C&C Servers

Anonymous Traffic

Corporate Network Backdoor Access

Brute-Force Attacks

DDoS Attacks

SOHO Routers Corporate Firewalls

IOT Devices VPN Gateways

Figura 19 - panoramica dell'infrastruttura ORB.

CRITICITÀ 9.1

10 gennaio 31 gennaio

16 gennaio

8 febbraio 11 aprile

24 aprile 22 agosto 19 settembre 18 novembre

28 maggio 10 settembre 23 ottobre

CRITICITÀ 9.8

CRITICITÀ 9.8 CRITICITÀ 9.1 CRITICITÀ 9.3

CRITICITÀ 9.8CRITICITÀ 10.0

VULNERABILITÀ SIGNIFICATIVE DI UN DISPOSITIVO EDGEDIVULGATE NEL 2024

Figura 20 - Cronologia delle vulnerabilità dei dispositivi edge divulgate nel 2024.

Dispositivi EDGE e ORB

L'ascesa degli infostealer

TENDENZE DELLA CYBER SECURITY 03

EVENTI DI SICUREZZA INFORMATICA 202402

INTRODUZIONE01

PREVISIONI DEL SETTORE PER IL 202507

RACCOMANDAZIONI DEI CISO 08

ANALISI GLOBALE04

VULNERABILITÀ DI ALTO PROFILO05

PROSPETTIVA DI RISPOSTA AGLI INCIDENTI06

Guerre cibernetiche Edizione 2024

L'ecosistema del ransomware

Complessità del cloud

LO STATO DELLA SICUREZZA INFORMATICA 202529

https://www.volexity.com/blog/2024/04/12/zero-day-exploitation-of-unauthenticated-remote-code-execution-vulnerability-in-globalprotect-cve-2024-3400/ https://support.checkpoint.com/results/sk/sk182336 https://support.checkpoint.com/results/sk/sk182336

LOTEM FINKELSTEIN

Direttore, Threat intelligence e ricerca

Con migliaia di dispositivi non supportati a rischio di attacco, gli attori delle minacce hanno accesso a un'infrastruttura che aggira le misure di sicurezza tradizionali. Patch tempestive, monitoraggio approfondito e sistemi di rilevamento efficaci saranno fondamentali

attori delle minacce, che possono sfruttare rapidamente tutte le vulnerabilità emergenti.

Mentre i criminali informatici hanno migliorato il loro sfruttamento dei dispositivi edge, gli attori sponsorizzati dallo stato continuano a dimostrare la loro superiorità tecnologica. Utilizzano exploit zero-day per distribuire impianti personalizzati su misura per dispositivi specifici. I dispositivi di sicurezza adattivi (ASA) di Cisco sono stati presi di mira in una sofisticata campagna nota come ArcaneDoor. Sfruttando le debolezze dell'ASA, questa operazione ha permesso agli attori degli stati nazionali di infiltrarsi nella rete governativa e industriale, ottenere informazioni sensibili e creare capacità di spionaggio a lungo termine. Nel corso della campagna, gli autori delle minacce hanno sfruttato un impianto unico, realizzato su misura per il dispositivo interessato, a dimostrazione di significativi sforzi di ricerca e sviluppo.

Sono stati scoperti molti impianti personalizzati per vari prodotti di sicurezza. Uno di questi sforzi, nome in codice Pacific Rim, suggerisce che gli attori cinesi hanno preso di mira i dispositivi perimetrali, come il firewall Sophos e il gateway VPN, per diversi anni. Pacific Rim ha utilizzato varie tattiche per sfruttare la vulnerabilità nei servizi connessi a Internet, tra cui CVE-2020-12271 e CVE-2022-1040, e ha consentito l'accesso ai punti di rete primari. Una volta compromessi, questi dispositivi diventano parte di una rete ORB che supporta canali di comando e controllo segreti (C2) che eludono il rilevamento. Gli aggressori hanno utilizzato tecniche avanzate nelle loro operazioni, come impianti di rootkit e hotfix offuscati, per mantenere la persistenza e nascondere la loro presenza sul dispositivo compromesso. Ciò ha permesso all'operazione di passare dal dispositivo edge agli asset della rete interna, concentrandosi su obiettivi di alto valore in tutta la regione indo-pacifica. L'approccio convalidato e strategico di Pacific Rim enfatizza la vulnerabilità dei dispositivi edge, in particolare nei settori in cui è difficile ottenere un monitoraggio completo e un'applicazione tempestiva delle patch.

Sebbene queste backdoor evolute siano diventate più comuni nel tempo, è importante notare che molte minacce "classiche" provenienti da dispositivi edge non protetti sono ancora presenti nell'ecosistema informatico. Nel settembre 2024, CloudFlare ha iniziato a difendersi da una campagna DDoS durata mesi che è stata rivelata come il più grande volume di attacchi mai segnalato da qualsiasi azienda. Questi attacchi ad alta velocità di pacchetto sembrano provenire da diversi tipi di dispositivi compromessi, tra cui dispositivi MikroTik, DVR e server Web. L'elevata velocità di trasmissione ha origine da

un gran numero di router domestici ASUS compromessi, che probabilmente sono stati sfruttati utilizzando una vulnerabilità essenziale. Attualmente, questo attacco su larga scala non è stato attribuito ad alcun attore sponsorizzato da uno stato o a un gruppo di criminali informatici.

Nel 2024, le botnet su larga scala costruite a partire da dispositivi edge vulnerabili e non monitorati sono diventate una parte indispensabile degli arsenali degli attori delle minacce avanzate, utilizzate per l'anonimizzazione, lo sfruttamento della rete, la persistenza o attacchi DDoS da record.

Gli ORB e le botnet come Raptor Train e Faceless utilizzano infrastrutture C2 decentralizzate in grado di passare con dinamicità da un dispositivo compromesso all'altro. Ciò consente agli aggressori di alternare i nodi ed eludere il

rilevamento con efficacia. Alcune varianti di malware, come TheMoon, impiegano strategie di evasione avanzate, tra cui l'esecuzione solo in memoria e il frequente cambio di IP, il che complica ulteriormente gli sforzi di mitigazione. Insieme al continuo ripetersi di dispositivi infetti, queste tattiche rappresentano sfide significative per i difensori.

Inizialmente si trattava di una tattica utilizzata dagli attori degli stati nazionali per l'infiltrazione segreta, ora la strategia di prendere di mira il dispositivo edge è stata cooptata da aggressori spinti da interessi finanziari che sfruttano toolkit standard. Questo approccio ha consentito di violare obiettivi di alto valore rimanendo nell'ombra per lunghi periodi. Il fatto che i dispositivi edge siano stati un obiettivo persistente evidenzia una lacuna fondamentale di sicurezza. I dispositivi di rete divulgati pubblicamente rimarranno esposti a rischi considerevoli senza patch tempestive, monitoraggio completo e solidi sistemi di rilevamento.

Dispositivi EDGE e ORB

L'ascesa degli infostealer

TENDENZE DELLA CYBER SECURITY 03

EVENTI DI SICUREZZA INFORMATICA 202402

INTRODUZIONE01

PREVISIONI DEL SETTORE PER IL 202507

RACCOMANDAZIONI DEI CISO 08

ANALISI GLOBALE04

VULNERABILITÀ DI ALTO PROFILO05

PROSPETTIVA DI RISPOSTA AGLI INCIDENTI06

Guerre cibernetiche Edizione 2024

L'ecosistema del ransomware

Complessità del cloud

LO STATO DELLA SICUREZZA INFORMATICA 202530

https://blog.talosintelligence.com/arcanedoor-new-espionage-focused-campaign-found-targeting-perimeter-network-devices/ https://news.sophos.com/en-us/2024/10/31/pacific-rim-timeline/ https://blog.cloudflare.com/how-cloudflare-auto-mitigated-world-record-3-8-tbps-ddos-attack/ https://censys.com/june-20-improper-authentication-vulnerability-in-asus-routers/ https://censys.com/june-20-improper-authentication-vulnerability-in-asus-routers/

ANALISI GLOBALE

00 44 LO STATO DELLA SICUREZZA INFORMATICA 2025

GLOBAL

6% Mobile

2% Crypto Miners

19% Infostealer

39% Multipurpose Malware

AMERICAS

4% Mobile

1% Crypto Miners

15% Infostealer

32% Multipurpose Malware

EMEA

6% Mobile

2% Crypto Miners

20% Infostealer

42% Multipurpose Malware

APAC

8% Mobile

5% Crypto Miners

28% Infostealer

42% Multipurpose Malware

La Figura 1 mostra gli attacchi in base al tipo di malware. Questi numeri escludono le scansioni generali e riguardano solo gli attacchi diretti, il che ci ha consentito di classificare il tipo di malware e la sua intenzione.

Nel 2024 c'è stato un notevole incremento dei tentativi di attacco sia da parte di Infostealer, sia da malware multiuso. Il malware multiuso (RAT, botnet e banchieri) viene spesso utilizzato nelle fasi iniziali di un attacco per rilasciare strumenti aggiuntivi ed espandere il controllo degli aggressori sul sistema violato. Non sorprende quindi che questo sia il tipo di malware più comune, con il 39% di aziende colpite nel 2024. Ciò segna un notevole incremento del 25% rispetto al 2023, quando solo il 31% delle aziende si è trovata ad affrontare tentativi simili.

Anche i tentativi di infezione da infostealer sono aumentati in modo significativo, passando dal 12% al 19% delle aziende colpite nel 2024, con un aumento del 58%. L'aumento degli attacchi infostealer, tipicamente distribuiti in campagne di massa piuttosto che rivolte a vittime specifiche, riflette un ecosistema in maturazione e una crescente domanda di registri infostealer rubati contenenti credenziali, cookies di sessione e altre informazioni personali. Gli infostealer vengono utilizzati per molteplici attività dannose, che vanno dalla frode diretta tramite credenziali finanziarie rubate all'utilizzo di cookies di sessione rubati per violare la rete aziendale. Ulteriori dettagli sui recenti sviluppi nell'ecosistema infostealer sono forniti nel capitolo Tendenze e una sezione dedicata ai dati verrà fornita più avanti in questo capitolo.

Gli attacchi con miner di criptovalute, installati all'insaputa dei proprietari del sistema, sono diminuiti sensibilmente, passando dal 9% a solo il 2% delle aziende colpite. La maggior parte dei miner di criptovalute che abbiamo visto prende di mira la criptovaluta Monero, la cui difficoltà di mining (sforzo computazionale richiesto per estrarre Monero) è quasi raddoppiata quest'anno, passando da una media di 260G a gennaio a quasi 450G a dicembre. Ciò riduce in modo serio la loro redditività. Ulteriori dettagli sui miner di criptovalute sono presentati in una sezione dedicata.

CATEGORIE DI ATTACCHI INFORMATICI PER REGIONE

58% AUMENTO DEI TENTATIVI DI INFEZIONE DA INFOSTEALER NEL 2024

Figura 1 - Percentuale di aziende colpite dal tipo di malware nel 2024.

L'ascesa degli infostealer

TENDENZE DELLA CYBER SECURITY 03

EVENTI DI SICUREZZA INFORMATICA 202402

INTRODUZIONE01

PREVISIONI DEL SETTORE PER IL 202507

RACCOMANDAZIONI DEI CISO 08

ANALISI GLOBALE04

VULNERABILITÀ DI ALTO PROFILO05

PROSPETTIVA DI RISPOSTA AGLI INCIDENTI06

Guerre cibernetiche Edizione 2024

L'ecosistema del ransomware

Complessità del cloud

Dispositivi EDGE e ORB

LO STATO DELLA SICUREZZA INFORMATICA 202532

MAPPA DELL'INDICE DI MINACCIA GLOBALE

Rischio maggiore Dati insufficienti

Figura 2 - La mappa mostra l'indice di rischio a livello globale delle minacce informatiche, indicando le principali aree di rischio nel mondo.

L'ascesa degli infostealer

TENDENZE DELLA CYBER SECURITY 03

EVENTI DI SICUREZZA INFORMATICA 202402

INTRODUZIONE01

PREVISIONI DEL SETTORE PER IL 202507

RACCOMANDAZIONI DEI CISO 08

ANALISI GLOBALE04

VULNERABILITÀ DI ALTO PROFILO05

PROSPETTIVA DI RISPOSTA AGLI INCIDENTI06

Guerre cibernetiche Edizione 2024

L'ecosistema del ransomware

Complessità del cloud

Dispositivi EDGE e ORB

LO STATO DELLA SICUREZZA INFORMATICA 202533

ATTACCHI PER ORGANIZZAZIONE Gli attacchi globali complessivi contro le aziende sono aumentati in modo significativo nell'ultimo anno, con un numero medio di attacchi settimanali per azienda che ha raggiunto 1.673. Si tratta di un aumento del 44% rispetto al 2023. La Figura 3 mostra il numero medio di attacchi settimanali per organizzazione per settore. Nel 2024 si è registrato un aumento significativo del numero di attacchi settimanali nella maggior parte dei settori. Il settore dell'istruzione registra il volume più elevato, con un aumento del 75% su base annua (YoY), superando una media di 3.574 attacchi settimanali. Gli istituti di istruzione sono stati specificamente presi di mira per la raccolta di informazioni personali. Questo aumento persistente dei tassi di attacco ha un impatto su università, scuole e dipartimenti e servizi educativi.

Anche il settore sanitario ha assistito a un incremento del 47% degli attacchi medi settimanali. I criminali informatici stanno abbandonando sempre più i loro precedenti divieti autoimposti di prendere di mira i servizi sanitari. Il settore sanitario è particolarmente vulnerabile alle interruzioni prolungate del servizio (come notato nella precedente sezione sul ransomware) e alla natura altamente sensibile dei dati dei pazienti in loro possesso.

il settore della catena di approvvigionamento tecnologico, comprese software, hardwaree semiconduttori, ha registrato un'impennata significativa degli attacchi informatici. In particolare, i settori dell'hardware e dei semiconduttori hanno registrato l'aumento più marcato, con un incredibile aumento del 179% degli attacchi medi settimanali, con un numero totale che ora supera i 1.400. Questo picco può essere attribuito alla crescente domanda globale di hardware e alla maggiore attenzione alle tecnologie di intelligenza

+75%

+43%

+47%

+40%

+42%

3,574

2,286

2,210

2,084

1,579

1,577

1,572

1,554

1,553

1,553

1,520

1,510

1,486

1,434

1,422

1,415

1,410 +179%

+33%

+30%

+71%

845 -34%

854

1,180 +58%

1,270 +33%

1,312

1,361

+43%

+109%

Information Technology

Agriculture

Transportation & Logistics

Hospitality, Travel, & Recreation

Industrial Manufacturing

Software

Hardware & Semiconductors

Wholesale & Distribution

Real Estate, Rentals, & Leasing

Business Services

Biotech & Pharmaceuticals

Financial Services

Associations & Non Profits

Media & Entertainment

Automotive

Consumer Goods & Services

Aerospace & Defence

Energy & Utilities

Construction & Engineering

Telecommunications

Healthcare & Medical

Government

Education

Figura 8: media globale degli attacchi settimanali per organizzazione e settore nel 2023 [% di variazione rispetto al 2022].[*] Settori di nuova introduzione che non facevano parte del rapporto precedente.

(% DI VARIAZIONE RISPETTO AL 2023)

GLOBALE ATTACCHI SETTIMANALI

PER AZIENDA PER SETTORE NEL 2024

GLI ATTACCHI GLOBALI COMPLESSIVI CONTRO LE AZIENDE SONO AUMENTATI IN MODO SIGNIFICATIVO NELL'ULTIMO ANNO, CON UN NUMERO MEDIO DI ATTACCHI SETTIMANALI PER AZIENDA CHE HA RAGGIUNTO 1.673. SI TRATTA DI UN INCREMENTO PARI AL 44% RISPETTO AL 2023.

L'ascesa degli infostealer

TENDENZE DELLA CYBER SECURITY 03

EVENTI DI SICUREZZA INFORMATICA 202402

INTRODUZIONE01

PREVISIONI DEL SETTORE PER IL 202507

RACCOMANDAZIONI DEI CISO 08

ANALISI GLOBALE04

VULNERABILITÀ DI ALTO PROFILO05

PROSPETTIVA DI RISPOSTA AGLI INCIDENTI06

Guerre cibernetiche Edizione 2024

L'ecosistema del ransomware

Complessità del cloud

Dispositivi EDGE e ORB

LO STATO DELLA SICUREZZA INFORMATICA 202534

https://blog.checkpoint.com/research/check-point-research-reports-highest-increase-of-global-cyber-attacks-seen-in-last-two-years-a-30-increase-in-q2-2024-global-cyber-attacks https://blog.checkpoint.com/research/check-point-research-reports-highest-increase-of-global-cyber-attacks-seen-in-last-two-years-a-30-increase-in-q2-2024-global-cyber-attacks https://thecyberexpress.com/cuhk-data-breach-in-hong-kong-varsity/ https://therecord.media/toronto-school-district-board-ransomware https://www.reuters.com/technology/cybersecurity/blacksuit-hacker-behind-cdk-global-attack-hitting-us-car-dealers-2024-06-27 https://www.reuters.com/technology/cybersecurity/blacksuit-hacker-behind-cdk-global-attack-hitting-us-car-dealers-2024-06-27 https://www.securityweek.com/cisco-confirms-security-incident-after-hacker-offers-to-sell-data/ https://www.theregister.com/2024/08/26/amd_internal_data_intelbroker/ https://www.reuters.com/technology/microchip-technologys-certain-operations-disrupted-by-cyber-incident-2024-08-20

html 61%

22%

5%

4%

3%

0.2%

0.2%

0.7%

0.7%

1.2%

pdf

exe

lnk

js

xls*

doc*

rtf

bat

iso

Figura 5 - E-mail - Principali tipi di file dannosi nel 2024. xls* include i file di Office Excel più comuni, ad esempio .xls, .xlsx, xlsm e altri ancora. doc* include i file comuni di Office Word, ad esempio .doc, .docx, docm e .dot

EMAIL PRINCIPALI DANNOSI TIPI DI FILE NEL 2024

exe 54%

11%

8%

5%

4%

1%

1%

1%

2%

3%

dll

pdf

jar

apk

doc*

sh

xls*

elf

msi

Figura 4 - Web – Principali tipi di file dannosi nel 2024. xls* include i file di Office Excel più comuni, ad esempio .xls, .xlsx, xlsm e altri ancora. doc* include i file comuni di Office Word, ad esempio .doc, .docx, docm e .dot

WEB PRINCIPALI DANNOSI TIPI DI FILE NEL 2024

da e-mail. Questo persiste nonostante un aumento significativo degli attacchi inviati sul Web (32%), che è principalmente attribuito al predominio dei framework di distribuzione di malware basati su siti Web infetti come FakeUpdates.

Il calo degli attacchi macro dannosi all'interno dei documenti Office ha portato a un cambiamento nelle tattiche: la maggior parte delle e-mail dannose ora contiene file HTML o documenti PDF. Gli usi dannosi dei file HTML includono il furto di phishing e di credenziali, spesso ottenuto replicando pagine di accesso legittime. Ulteriori casi di utilizzo includono tecniche più avanzate

come il contrabbando HTML, il reindirizzamento a siti Web dannosi, exploit del browser e altri metodi. In particolare, 61% dei file dannosi inviati via e-mail include allegati HTML.

I file PDF malevoli sono un altro vettore di attacco diffuso che si trova nel 22% delle e-mail dannose. Questi in genere comportano l'incorporamento di codice JavaScript o collegamenti incorporati all'interno del documento, che possono attivare il download di malware o reindirizzare le vittime a siti web dannosi. In alcuni casi, i PDF sfruttano le vulnerabilità di software di lettura PDF obsoleti per eseguire codice sul computer della vittima.

artificiale. In quanto componenti essenziali delle infrastrutture moderne e dell'innovazione, questi settori sono diventati obiettivi primari per i criminali informatici che cercano di sfruttare la vulnerabilità della catena di approvvigionamento per un ritorno economico, per spionaggio o interruzione dei servizi.

Gli attacchi che si basano sulle e-mail rimangono il vettore di attacco iniziale predominante, con il 68% degli attacchi originati

68% DI ATTACCHI DERIVANTI DALLE EMAIL 61% DEI FILE DANNOSI INVIATI VIA E-MAIL INCLUDE ALLEGATI HTML84%

16% 86% 14%

89% 11%

68% 32%

2024202320222021

EMAIL

WEB

Figura 7 - Protocolli di consegna: e-mail e vettori di attacco Web nel periodo 2021-2024.

zip 31%

22%

8%

6%

4%

1%

2%

2.1%

2.6%

3.2%

rar

7z

gz

z

tar

lzh

arj

img

cab

Figura 6- Principali tipi di file di archivio dannosi in e-mail e Web nel 2024.

ARCHIVI PRINCIPALI DANNOSI TIPI DI FILE NEL 2024

VETTORI DI ATTACCO

L'ascesa degli infostealer

TENDENZE DELLA CYBER SECURITY 03

EVENTI DI SICUREZZA INFORMATICA 202402

INTRODUZIONE01

PREVISIONI DEL SETTORE PER IL 202507

RACCOMANDAZIONI DEI CISO 08

ANALISI GLOBALE04

VULNERABILITÀ DI ALTO PROFILO05

PROSPETTIVA DI RISPOSTA AGLI INCIDENTI06

Guerre cibernetiche Edizione 2024

L'ecosistema del ransomware

Complessità del cloud

Dispositivi EDGE e ORB

LO STATO DELLA SICUREZZA INFORMATICA 202535

https://research.checkpoint.com/2023/the-obvious-the-normal-and-the-advanced-a-comprehensive-analysis-of-outlook-attack-vectors/ https://research.checkpoint.com/2023/the-obvious-the-normal-and-the-advanced-a-comprehensive-analysis-of-outlook-attack-vectors/ https://research.checkpoint.com/2023/chinese-threat-actors-targeting-europe-in-smugx-campaign/ https://research.checkpoint.com/2023/chinese-threat-actors-targeting-europe-in-smugx-campaign/ https://research.checkpoint.com/2024/foxit-pdf-flawed-design-exploitation/

Anche i file di archivio malevoli sono diventati un vettore di attacco comune nelle campagne informatiche, sfruttando formati come ZIP, RAR, 7z e altri. Tra questi, i file ZIP sono i più comuni e rappresentano il 31% degli archivi dannosi, seguiti dai file RAR al 22% e dai file 7z all'8%. I file di archivio sono particolarmente efficaci per eludere il rilevamento, in quanto comprimono i payload dannosi e ne offuscano il contenuto, rendendo più difficile l'analisi da parte delle soluzioni di sicurezza.

Una sfida rilevante per i meccanismi di sicurezza si presenta quando gli aggressori utilizzano protetti da password. Questi archivi non possono essere analizzati per la ricerca di contenuti dannosi senza la password, che è spesso inclusa nel corpo dell'e-mail o condivisa separatamente. Criptando il contenuto dell'archivio, gli attori delle minacce tentano di aggirare le difese automatizzate. Una volta estratti, questi archivi possono inviare malware direttamente al sistema della vittima. Gli aggressori utilizzano spesso la consegna in più fasi, in cui il file di archivio iniziale contiene documenti o script apparentemente innocui che, una volta eseguiti, scaricano il reale payload dannoso da un server remoto. L'aumento dell'uso dei file di archivio evidenzia l'evoluzione delle tattiche dei criminali informatici per sfruttare i punti deboli della sicurezza della posta elettronica e sfruttare la fiducia degli utenti per eseguire attacchi con successo.

I file DLL dannosi (Dynamic Link Libraries), spesso distribuiti all'interno di archivi compressi, sono comunemente utilizzati nelle sideload o dirottamento delle DLL. In questi casi, i malintenzionati sfruttano l'applicazione legittima vulnerabile inserendo un file DLL malevole nella stessa directory di un file eseguibile attendibile. Quando l'applicazione viene eseguita, carica la DLL malevola anziché quella prevista, consentendo all'utente malintenzionato di eseguire codice arbitrario. Questa tecnica è particolarmente efficace per eludere il rilevamento, in quanto l'applicazione legittima funge da vettore attendibile per il payload dannoso e le DLL.

attacchi distribuiti dal Web spesso si basano su download drive-by, siti Web compromessi o annunci ingannevoli per distribuire questi file, evidenziando l'importanza del filtraggio sul Web, del software di sicurezza aggiornato e della consapevolezza degli utenti per mitigare tali minacce. I file dannosi distribuiti sul Web sono in aumento, sfruttando formati di file come EXE, DLL e PDF per distribuire malware. Tra questi, i file EXE sono i più diffusi, rappresentando il 54% dei file dannosi forniti sul Web. Questi file eseguibili sono spesso mascherati da software o aggiornamenti legittimi, inducendo gli utenti a scaricarli ed eseguirli. I file DLL comprendono l'11% di questi attacchi, mentre i file PDF rappresentano l'8%.

L'ascesa degli infostealer

TENDENZE DELLA CYBER SECURITY 03

EVENTI DI SICUREZZA INFORMATICA 202402

INTRODUZIONE01

PREVISIONI DEL SETTORE PER IL 202507

RACCOMANDAZIONI DEI CISO 08

ANALISI GLOBALE04

VULNERABILITÀ DI ALTO PROFILO05

PROSPETTIVA DI RISPOSTA AGLI INCIDENTI06

Guerre cibernetiche Edizione 2024

L'ecosistema del ransomware

Complessità del cloud

Dispositivi EDGE e ORB

LO STATO DELLA SICUREZZA INFORMATICA 202536

https://research.checkpoint.com/2024/stargazers-ghost-network/ https://research.checkpoint.com/2024/massive-phishing-campaign-deploys-latest-rhadamanthys-version/ https://research.checkpoint.com/2024/10-years-of-dll-hijacking-and-what-we-can-do-to-prevent-10-more/ https://research.checkpoint.com/2024/10-years-of-dll-hijacking-and-what-we-can-do-to-prevent-10-more/

STATISTICHE GLOBALI SUL MALWARE I confronti dei dati presentati nelle sezioni seguenti si basano sui dati estratti dalla Mappa della minaccia informatica di Check Point ThreatCloud tra gennaio e dicembre 2024.

Per ciascuna delle regioni seguenti, presentiamo il malware più diffuso nel 2023 e la percentuale di reti aziendali interessate da ciascuna famiglia di malware.

ANALISI GLOBALE DEL PRINCIPALE MALWARE La nostra analisi evidenzia le famiglie di malware rilevate più di frequente identificate dalle protezioni di rete di Check Point. È importante notare che queste famiglie non sono necessariamente le più sofisticate o pericolose, ma sono le più diffuse.

FakeUpdates (SocGholish) continua a guidare la classifica dei malware più diffusi di Check Point per il 2024. Questa operazione di malware si basa su una rete di siti web compromessi per distribuire malware mascherati da falsi prompt di aggiornamento del browser o del software. Le richieste ingannevoli inducono gli utenti a scaricare ed eseguire un downloader basato su JScript che a sua volta scarica malware aggiuntivo. La rete di siti Web compromessi è attribuita a TA569, un importante broker di accesso iniziale (IAB) che si ritiene operi su un modello pay-per-install (PPI). TA569 fornisce l'accesso al sistema ad altri criminali informatici, che spesso distribuiscono ransomware o altri payload dannosi.

Qbot, una delle famiglie di malware più antiche e versatili, ha subito un drammatico calo nell'ultimo anno. Precedentemente al secondo posto nella nostra classifica, l'attività di Qbot è stata significativamente interrotta alla fine del 2023 a seguito di un'operazione multinazionale guidata dall'FBI che ha preso di mira e smantellato la sua Infrastruttura IT. Da allora, molti attori delle minacce che in precedenza distribuivano Qbot sono passati ad altri ceppi malware, tra cui DarkGate.

AgentTesla, una presenza regolare nel nostro elenco di malware più diffusi dal 2020, è specializzato nel furto di informazioni sensibili dai sistemi infetti. Check Point Research continua a monitorare questo infostealer che viene spesso utilizzato in campagne globali. AgentTesla è in grado di estrarre un'ampia gamma di dati dalle macchine compromesse, tra cui sequenze di tasti, credenziali di accesso dai browser per la navigazione web e credenziali dai client di posta elettronica.

Figura 8 - I malware più diffusi a livello globale - 2024. Figura 9 - I malware più diffusi nelle Americhe nel 2024.

Figura 10 - I malware più diffusi in EMEA - 2024 Figura 11 - I malware più diffusi nell'APAC - 2024

Nanocore

NJRAT

Lumma

Androxgh0st

AsyncRAT

Formbook

CloudEyE

Remcos

AgentTesla

FakeUpdates

4%

16%

12%

10%

10%

9%

8%

7%

5%

4%

Mirai

Ramnit

NJRAT

Lumma

AgentTesla

Formbook

Androxgh0st

Remcos

AsyncRAT

FakeUpdates

5%

14%

10%

9%

9%

8%

7%

6%

5%

5%

16%

12%

8%

8%

7%

7%

5%

5%

4%

3%Nanocore

NJRAT

Lumma

CloudEyE

AsyncRAT

Androxgh0st

Formbook

Remcos

AgentTesla

FakeUpdates

2%Darkgate

17%

15%

7%

6%

5%

4%

4%

4%

2%Mirai

NJRAT

Lumma

AsyncRAT

Formbook

Remcos

Androxgh0st

AgentTesla

FakeUpdates

EUROPA, MEDIO ORIENTE E AFRICA

ASIA E PACIFICO

GLOBALE AMERICA

L'ascesa degli infostealer

TENDENZE DELLA CYBER SECURITY 03

EVENTI DI SICUREZZA INFORMATICA 202402

INTRODUZIONE01

PREVISIONI DEL SETTORE PER IL 202507

RACCOMANDAZIONI DEI CISO 08

ANALISI GLOBALE04

VULNERABILITÀ DI ALTO PROFILO05

PROSPETTIVA DI RISPOSTA AGLI INCIDENTI06

Guerre cibernetiche Edizione 2024

L'ecosistema del ransomware

Complessità del cloud

Dispositivi EDGE e ORB

LO STATO DELLA SICUREZZA INFORMATICA 202537

https://threatmap.checkpoint.com/ https://arcticwolf.com/resources/blog-uk/abusing-boinc-fakeupdates-campaign-bundling-malware-legitimate-software/ https://arcticwolf.com/resources/blog-uk/abusing-boinc-fakeupdates-campaign-bundling-malware-legitimate-software/ https://www.proofpoint.com/us/blog/threat-insight/ta569-socgholish-and-beyond https://www.fbi.gov/news/stories/fbi-partners-dismantle-qakbot-infrastructure-in-multinational-cyber-takedown https://www.fbi.gov/news/stories/fbi-partners-dismantle-qakbot-infrastructure-in-multinational-cyber-takedown https://www.theregister.com/2024/07/16/darkgate_malware/ https://research.checkpoint.com/2024/agent-tesla-targeting-united-states-and-australia/ https://research.checkpoint.com/2024/agent-tesla-targeting-united-states-and-australia/

ANALISI GLOBALE DEI MALWARE MULTIPURPOSE Il malware multifunzione include trojan di accesso remoto (RAT), botnet e trojan bancari, categorie che vengono aggiornate man mano che le funzionalità dei malware si evolvono. Le classificazioni dei malware sono dinamiche e gli aggiornamenti che permettono funzionalità aggiuntive potrebbero richiedere la riclassificazione in una nuova categoria. Check Point monitora di continuo questi sviluppi, aggiornando le classificazioni dei malware e ridefinendo occasionalmente intere categorie per riflettere meglio l'evoluzione del panorama delle minacce.

DarkGate è un ottimo esempio di malware poliedrico. Oltre alle sue funzionalità principali di RAT, downloader e furto di informazioni, DarkGate incorpora funzioni di crypto mining, rendendo difficile inserirsi perfettamente nelle categorie di malware tradizionali. Tuttavia, tali complessità non sono anomalie. Queste categorie rimangono fondamentali per comprendere l'intento principale alla base di attacchi specifici e identificare le tendenze generali all'interno dell'ecosistema dei criminali informatici.

L'intensa attività delle forze dell'ordine durante l'intero anno ha rimodellato in modo significativo il panorama delle minacce informatiche. Nel maggio 2024, una coalizione multinazionale ha eseguito l'operazione Endgame, prendendo di mira l'infrastruttura botnet responsabile della distribuzione del malware. Questa operazione ha interrotto reti di distribuzione di malware legati a gruppi come IcedID, Smokeloader, Pikabot, Bumblebee, SystemBC e Trickbot. L'operazione ha smantellato oltre 100 server, sequestrato più di 2.000 domini e portato all'arresto di quattro persone, una in Armenia e tre in Ucraina, congelando anche i beni illegali.

Le botnet hanno storicamente svolto un ruolo centrale nella distribuzione dei malware. Il loro smantellamento ha innescato cambiamenti significativi, tra cui un significativo spostamento verso gli infostealer, che sono spesso più decentralizzati e ampiamente utilizzati tra i singoli criminali informatici. Questa decentralizzazione rende l'attività degli infostealer più difficile da prendere di mira attraverso operazioni di esecuzione centralizzate.

A seguito di queste interruzioni, il mercato dei malware multiuso è cambiato notevolmente rispetto allo scorso anno. Qbot ed Emotet, che in precedenza dominavano lo spazio, sono stati sostituiti dalle famiglie di malware FakeUpdates (40%), Androxgh0st (18%), Phorpiex (5%), Darkgate (5%) e Raspberry Robin .

Figura 12 - Malware multifunzione più diffuso a livello globale – 2024. Figura 13 - Malware multifunzione più diffuso nelle Americhe – 2024.

Figura 14 - Malware multifunzione più diffusi in EMEA – 2024. Figura 15 - Malware multifunzione più diffusi in APAC – 2024.

FakeUpdates 42%

Other 24%

Androxgh0st 19%

Darkgate

5% Raspberry Robin 5%

Phorpiex

5%

EUROPA, MEDIO ORIENTE E AFRICA

FakeUpdates 28%Other

33%

Androxgh0st 17%

Glupteba

7% Mirai9%

Phorpiex

7%

APAC ASIA E PACIFICO

AgentTesla 27% Formbook 21% Lumma 12%

Lokibot 6% SnakeKeylogger 5%

Other 30%

FakeUpdates 40%

Other 26%

Androxgh0st 18%

Darkgate

5% Phorpiex

5% Mirai

6%

GLOBALE

FakeUpdates 48%

Other 19%

Androxgh0st 19%

Darkgate

5%

Raspberry Robin 3%

Mirai

7%

AMERICA

L'ascesa degli infostealer

TENDENZE DELLA CYBER SECURITY 03

EVENTI DI SICUREZZA INFORMATICA 202402

INTRODUZIONE01

PREVISIONI DEL SETTORE PER IL 202507

RACCOMANDAZIONI DEI CISO 08

ANALISI GLOBALE04

VULNERABILITÀ DI ALTO PROFILO05

PROSPETTIVA DI RISPOSTA AGLI INCIDENTI06

Guerre cibernetiche Edizione 2024

L'ecosistema del ransomware

Complessità del cloud

Dispositivi EDGE e ORB

LO STATO DELLA SICUREZZA INFORMATICA 202538

https://www.logpoint.com/en/blog/inside-darkgate/ https://www.europol.europa.eu/media-press/newsroom/news/largest-ever-operation-against-botnets-hits-dropper-malware-ecosystem#empact https://www.europol.europa.eu/media-press/newsroom/news/largest-ever-operation-against-botnets-hits-dropper-malware-ecosystem#empact https://www.fbi.gov/news/stories/fbi-partners-dismantle-qakbot-infrastructure-in-multinational-cyber-takedown https://www.fbi.gov/news/stories/fbi-partners-dismantle-qakbot-infrastructure-in-multinational-cyber-takedown http://www.cisa.gov/news-events/cybersecurity-advisories/aa24-016a http://www.cisa.gov/news-events/cybersecurity-advisories/aa24-016a https://research.checkpoint.com/2021/phorpiex-botnet-is-back-with-a-new-twizt-hijacking-hundreds-of-crypto-transactions/ https://research.checkpoint.com/2024/raspberry-robin-keeps-riding-the-wave-of-endless-1-days/

Figura 16 - I principali malware infostealer nel mondo - 2024 Figura 17 - I principali malware infostealer nelle Americhe - 2024

Figura 18 - I principali malware infostealer nell'area EMEA - 2024. Figura 19 - I principali malware infostealer nell'area APAC - 2024.

AgentTesla 27%Other30%

Formbook 21%Lumma

12%Lokibot 6%

SnakeKeylogger

5%

EMEA

AgentTesla 15%

Formbook 16%

Amadey

6%

Ramnit 9%

Lumma 11%

Other 42%

APAC

AgentTesla 29%

Formbook 18%Lumma

12% Lokibot 4%

Ramnit 4%

Other 33%

GLOBAL

AgentTesla 43%

Other 24%

Formbook 15%

Lumma 11%

Ramnit 2% Amadey 4%

AMERICAS

ANALISI GLOBALE DEL MALWARE INFOSTEALER Nel 2024 il panorama dei malware infostealer ha continuano a essere dominato da minacce precedentemente note e consolidate come AgentTeslache ha rappresentato il 29% di tutti i rilevamenti, Formbook per il 18% e Lumma per il 12% dei rilevamenti. Nonostante l'assenza di nuovi operatori significativi, c'è stato comunque un aumento del 58% dei tentativi di infezione da infostealer rispetto all'anno precedente, e c'è una combinazione di diverse ragioni possibili che possono spiegarlo.

I tradizionali canali di distribuzione del malware sono stati interrotti da operazioni delle forze dell'ordine, come l'operazione Endgame nel maggio 2024 che ha preso di mira le principali botnet come IcedID, Smokeloader e Trickbot, smantellando oltre 100 server e sequestrando più di 2.000 domini. I criminali informatici potrebbero ricorrere agli infostealer come alternativa. Inoltre, la maturazione dell'ecosistema dei criminali informatici ha aumentato la domanda di dati raccolti dagli infostealer, comunemente denominati "log". Questi registri, contenenti informazioni sensibili come credenziali e dati personali, vengono venduti su mercati clandestini ad altri criminali informatici che cercano di sfruttare le informazioni.

Di conseguenza, gli infostealer stanno svolgendo un ruolo sempre più centrale nel panorama delle minacce in evoluzione. Un'analisi completa di queste tendenze è fornita nei successivi capitoli.

Lo Styx Stealer, studiato da Check Point Research, è un nuovo infostealer apparso quest'anno. Styx è derivato dal Phemedrone Stealer ed è progettato per esfiltrare informazioni sensibili come password salvate, cookies, dati di riempimento automatico da vari browser, dettagli del portafoglio di criptovaluta e dati di sessione da piattaforme di messaggistica come Telegram e Discord. Raccoglie anche informazioni di sistema, comprese le specifiche hardware e gli indirizzi IP esterni, e può acquisire schermate per valutare l'ambiente prima di eseguire il suo payload. In particolare, Styx Stealer incorpora funzionalità come l'avvio automatico, il monitoraggio degli appunti, il crypto-clipping, l'evasione sandbox avanzata e le tecniche anti-analisi. A differenza del suo predecessore, che era disponibile gratuitamente, Styx Stealer è venduto attraverso un modello di abbonamento, con prezzi che vanno da $ 75 per una licenza mensile a $ 350 per un abbonamento a vita.

EUROPA, MEDIO ORIENTE E AFRICA

ASIA E PACIFICO

GLOBALE AMERICA

L'ascesa degli infostealer

TENDENZE DELLA CYBER SECURITY 03

EVENTI DI SICUREZZA INFORMATICA 202402

INTRODUZIONE01

PREVISIONI DEL SETTORE PER IL 202507

RACCOMANDAZIONI DEI CISO 08

ANALISI GLOBALE04

VULNERABILITÀ DI ALTO PROFILO05

PROSPETTIVA DI RISPOSTA AGLI INCIDENTI06

Guerre cibernetiche Edizione 2024

L'ecosistema del ransomware

Complessità del cloud

Dispositivi EDGE e ORB

LO STATO DELLA SICUREZZA INFORMATICA 202539

https://research.checkpoint.com/2024/agent-tesla-targeting-united-states-and-australia/ https://www.fbi.gov/news/press-releases/operation-endgame-coordinated-worldwide-law-enforcement-action-against-network-of-cybercriminals https://www.fbi.gov/news/press-releases/operation-endgame-coordinated-worldwide-law-enforcement-action-against-network-of-cybercriminals https://research.checkpoint.com/2024/unmasking-styx-stealer-how-a-hackers-slip-led-to-an-intelligence-treasure-trove/

Figura 20 - I principali malware di crypto mining a livello globale - 2024

Figura 21 - I principali malware di crypto mining nelle Americhe - 2024

Figura 22 - I principali malware di crypto mining in EMEA - 2024 Figura 23 - I principali malware di crypto mining nell'APAC - 2024

LemonDuck 41%

Kinsing 35%

Other 11%

Lucifer 3%

Wannamine 5% RedTail 5% LemonDuck

58%Wannamine 29%

Kinsing 3%

Other 5%

Lucifer 2%RedTail

2%

Lucifer 2%

RedTail 5%

LemonDuck 46%

Wannamine 17%

Kinsing 15%

Other 16%

LemonDuck 42%

Kinsing 19%

RedTail 14%

Wannamine 9%

Lucifer 3% Other13%

ANALISI GLOBALI DEI CRYPTOMINER Nel 2024, il settore delle criptovalute ha subito significativi sviluppi normativi e di mercato, con una conseguente ripresa. Bitcoin ha superato la soglia dei $ 100.000 a dicembre e ha raggiunto un massimo storico di $ 103.649. Tuttavia, il numero di attacchi crypto mining è diminuito, passando dall'impatto del 9% delle aziende nel 2023 ad appena il 2%.

I miner di criptovalute illegali si concentrano su Monero (XMR) per le sue solide funzionalità di privacy, che rendono le transazioni praticamente non tracciabili, nonché per il suo mining CPU-friendly e i minori requisiti computazionali. Tuttavia, il valore di Monero è rimasto relativamente stagnante per tutto l'anno, mentre la sua difficoltà di mining (sforzo computazionale richiesto per estrarre Monero) è quasi raddoppiata passando da una media di 260G a gennaio a quasi 450G a dicembre. Il forte aumento della difficoltà ha ridotto drasticamente la redditività del mining e molte operazioni di crypto mining illegali si sono ridimensionate, portando a un calo degli attacchi crypto mining.

Nel 2024, LemonDuck è rimasto una varietà di malware di crypto mining malware più diffusi ed è stato utilizzato nel 46% di tutti i tentativi di attacco crypto mining. Inizialmente scoperto nel 2018, LemonDuck si è evoluto da un semplice miner di criptovalute a un malware altamente sofisticato, modulare e multipiattaforma con funzionalità che ora includono il furto di credenziali, l'autopropagazione e le operazioni di mining in-memory senza file. Queste caratteristiche aggiuntive lo rendono versatile e difficile da rilevare. L'attività recente mostra che gli operatori di LemonDuck stanno sfruttando la vulnerabilità Server Message Block (SMB), in particolare l'exploit EternalBlue, per infiltrarsi nei sistemi Windows. Le campagne LemonDuck utilizzano una varietà di vettori di attacco, tra cui e-mail phishing con allegati dannosi, attacchi di brute force rivolti a RDP e SSH, unità USB armate contenenti file .LNK e altre tecniche di infiltrazione.

EUROPA, MEDIO ORIENTE E AFRICA

ASIA E PACIFICO

GLOBALE AMERICA

L'ascesa degli infostealer

TENDENZE DELLA CYBER SECURITY 03

EVENTI DI SICUREZZA INFORMATICA 202402

INTRODUZIONE01

PREVISIONI DEL SETTORE PER IL 202507

RACCOMANDAZIONI DEI CISO 08

ANALISI GLOBALE04

VULNERABILITÀ DI ALTO PROFILO05

PROSPETTIVA DI RISPOSTA AGLI INCIDENTI06

Guerre cibernetiche Edizione 2024

L'ecosistema del ransomware

Complessità del cloud

Dispositivi EDGE e ORB

LO STATO DELLA SICUREZZA INFORMATICA 202540

https://www.coinwarz.com/mining/monero/difficulty-chart https://www.coinwarz.com/mining/monero/difficulty-chart https://notes.netbytesec.com/2024/10/lemonduck-unleashes-cryptomining.html

Figura 24 - I principali malware per dispositivi mobili a livello globale - 2024.

Figura 25 - I principali malware per dispositivi mobili nelle Americhe - 2024.

Figura 26 - I principali malware per dispositivi mobili in EMEA - 2024. Figura 27 - I principali malware per dispositivi mobili in APAC - 2024.

Joker 24%

Anubis 13%

Necro 12%AhMyth8%

Other 38%

Hydra 5%

Joker 25%

Necro 22%

Anubis 10%

AhMyth

7%

Altro 33%

Hiddad 3%

Joker 23%

Necro 19%

Anubis 12%

AhMyth 9%

Other 34%

Hiddad 4%

Necro 27%

Joker 15%Anubis

10% AhMyth12%

Other 28%

Hiddad 7%

ANALISI GLOBALE DEL MALWARE MOBILE Nel 2024, più del 60% del traffico internet globale ha avuto origine da dispositivi mobili. I dati sensibili memorizzati su questi dispositivi sono molto ricercati, non solo dai criminali informatici in cerca di un guadagno economico, ma anche dagli attori sponsorizzati dagli stati impegnati nello spionaggio e nella raccolta di informazioni.

Rafel RAT, un trojan open source per l'accesso remoto su Android, è molto utilizzato per scopi di spionaggio, come riportato nel rapporto di Check Point Research . L'indagine ha rilevato che è stato utilizzato in circa 120 diverse campagne malevole, molte delle quali hanno preso di mira organizzazioni di alto profilo, comprese istituzioni all'interno del settore militare. Rafel RAT consente agli attori delle minacce di esfiltrare dati sensibili, elenchi di contatti e messaggi di autenticazione a due fattori (2FA), ottenere l'accesso agli account e aggirare i meccanismi di autenticazione a più fattori. In particolare, il gruppo di spionaggio APT-C-35, noto anche come DoNot Team, è stato osservato sfruttare Rafel RAT nelle sue operazioni, il che evidenzia l'adattabilità e l'efficacia del malware in una vasta gamma di profili e obiettivi degli attori delle minacce.

Il malware per dispositivi mobili più diffuso nel 2024 (23%) è stato Joker, un noto malware rivolto ai dispositivi Android dal 2017. L'obiettivo principale di Joker consiste nell'iscrivere segretamente gli utenti ai servizi premium, simulandone i clic e intercettando i messaggi SMS e le notifiche. Un caso degno di notaha riguardato una variante di Joker incorporata nell'app Beauty Camera del Google Play Store, che ha raccolto oltre 100.000 download. Sebbene l'app sembrasse legittima, scaricava segretamente risorse aggiuntive dai server di comando e controllo remoto (C2), consentendo ulteriori attività dannose.

L'ascesa di Necro(19%) tra i primi tre malware per dispositivi mobili in tutte le regioni non sorprende. Identificato per la prima volta nel 2019, Necro è un malware dropper progettato per scaricare ed eseguire payload aggiuntivi. Recentemente Necro è stato distribuito attraverso due applicazioni dannose nel Google Play Store con un totale di 11 milioni di download. Oltre a Google Play, Necro è stato identificato in repository non ufficiali, incorporato in app e giochi popolari come WhatsApp, Minecraft, Stumble Guys e altri.

Altre due importanti minacce per dispositivi mobili, Anubis e AhMyth, sono ancora ampiamente utilizzate grazie al loro codice sorgente disponibile pubblicamente. Anubis, originariamente sviluppato come Trojan bancario, si è evoluto per includere la funzionalità Remote Access Trojan (RAT), il keylogging, la registrazione audio e persino funzionalità simili al ransomware. La sua versatilità lo rende uno strumento preferito dai malintenzionati che prendono di mira le istituzioni finanziarie. AhMyth, nato inizialmente come progetto educativo e reso pubblico su GitHub, è stato integrato in campagne malevole.

EUROPA, MEDIO ORIENTE E AFRICA

ASIA E PACIFICO

GLOBALE AMERICA

L'ascesa degli infostealer

TENDENZE DELLA CYBER SECURITY 03

EVENTI DI SICUREZZA INFORMATICA 202402

INTRODUZIONE01

PREVISIONI DEL SETTORE PER IL 202507

RACCOMANDAZIONI DEI CISO 08

ANALISI GLOBALE04

VULNERABILITÀ DI ALTO PROFILO05

PROSPETTIVA DI RISPOSTA AGLI INCIDENTI06

Guerre cibernetiche Edizione 2024

L'ecosistema del ransomware

Complessità del cloud

Dispositivi EDGE e ORB

LO STATO DELLA SICUREZZA INFORMATICA 202541

https://www.statista.com/statistics/306528/share-of-mobile-internet-traffic-in-global-regions/ https://research.checkpoint.com/2024/rafel-rat-android-malware-from-espionage-to-ransomware-operations/ https://cert.pl/en/posts/2024/10/analiza-joker/ https://securelist.com/necro-trojan-is-back-on-google-play/113881/

In termini di distribuzione geografica, il 50% delle aziende colpite quest'anno si trova negli Stati Uniti, seguite dal Regno Unito con il 6%, dal Canada con il 5% e da Germania e Italia con il 3% ciascuno.

Tuttavia, se adattato alle dimensioni della popolazione, il quadro cambia. Sebbene gli Stati Uniti rimangano statisticamente il paese maggiormente preso di mira, le differenze tra i paesi diventano meno evidenti. Molti paesi industrializzati hanno contato tra le 2 e le 6 vittime aziendali ogni 1 milione di abitanti, evidenziando un'esposizione globale più ampia agli attacchi ransomware.

Nel modello RaaS (Ransomware as a Service), gli affiliati selezionano le loro vittime in modo indipendente, portando a una distribuzione geografica delle vittime che riflette le tendenze più ampie dell'ecosistema piuttosto che le preferenze dell'operatore RaaS. Gli operatori possono imporre restrizioni, come vietare attacchi alle ex repubbliche sovietiche o alle organizzazioni senza scopo di lucro o a quelle coinvolte nel settore sanitario. Tuttavia, alcuni gruppi mostrano un focus geografico più distinto. Ad esempio, il gruppo ransomware noto come "RA Group" prende di mira in modo sproporzionato la Germania, dove si trova oltre il 20% delle sue vittime pubblicate, mentre KillSec si concentra molto sull'India, con il 30% delle sue vittime che si trova lì.

Un'analisi della media globale degli attacchi settimanali per azienda suddivisa per settore (Figura 3) mostra che gli ambiti dell'istruzione, della pubblica amministrazione e della

Cronos messa in atto dalle forze dell'ordine, mentre l'inattività di ALPHV deriva da una combinazione di azioni delle forze dell'ordine e controversie interne con i soci. Sebbene LockBit sembri ancora essere il secondo attore di ransomware più prolifico nel 2024, la maggior parte dei contatti con le vittime è avvenuta nella prima metà dell'anno. Negli ultimi mesi del 2024, LockBit ha riportato meno di cinque vittime al mese. Tuttavia, nell'ultima settimana del 2024, il gruppo ha annunciato una nuova versione, LockBit 4.0. Solo il tempo dirà se questo segnerà una rinascita per l'organizzazione criminale. (Maggiori dettagli sono disponibili nel capitolo 03)

Il declino di questi due importanti gruppi criminali ha rimodellato il panorama del ransomware. C'è una maggiore frammentazione all'interno dell'ecosistema, poiché numerosi gruppi più piccoli rappresentano ora una quota maggiore del totale delle vittime annuali. Mentre i primi 10 gruppi più attivi sono stati responsabili di oltre il 66% di tutte le vittime pubblicate nel 2023, la loro quota combinata è scesa ad appena il 51% nel 2024. L'ascesa di RansomHub come principale gruppo di doppia estorsione può essere attribuita al successo nell'attrarre molti ex affiliati di LockBit e ALPHV che non hanno la capacità o scelgono di non operare in modo indipendente.

RANSOMWARE Questa sezione presenta dati e approfondimenti tratti da oltre 140 siti di fuga di dati (DLS) ransomware gestiti da più di 90 gruppi ransomware a doppia estorsione. I dettagli di oltre 5.200 aziende sono stati pubblicati su siti di fuga di dati da criminali informatici che utilizzano queste piattaforme per aumentare la pressione sulle aziende che si rifiutano di soddisfare le richieste di riscatto. Le aziende che pagano il riscatto generalmente non compaiono nel DLS e sono quindi escluse da questo set di dati, introducendo un pregiudizio intrinseco. Tuttavia, le informazioni condivise su questi DLS criminali offrono prospettive preziose sul panorama del ransomware. I dati analizzati qui coprono il periodo da gennaio a dicembre 2024.

Due degli attori ransomware più dominanti nel 2023 sono diventati inattivi nel corso del 2024. LockBit, che ha rappresentato il 21% delle vittime nel 2023, e ALPHV, responsabile del 9%, hanno cessato o ridotto significativamente di mietere vittime. Il declino di LockBit è attribuito all'operazione

Figura 28 - Gruppi di doppia estorsione ransomware, per percentuale del totale delle vittime pubblicate nel 2024.*

Other 49%

ransomhub 10%

LockBit3 10%

play 6% akira 5%

hunters 4%

medusa 4%

qilin 3%

bianlian 3%

inc ransom 3%

8base 3%

Figura 29 - Vittime per paese, come riportato sui siti di fuga di dati – 2024.

United States 50%

Rest of World 23%

United Kingdom

6%

Canada 5%

Germany 3%

Italy 3%

Brazil 2%

France 2%

India 2%

Australia 2%

Spain 2%

Figura 30 - Vittime aziendali di ransomware per 1 milione pro capite, per nazione.

Norway

UAE

Singapore New Zealand

Sweden

Belgium

Australia

United Kingdom Switzerland

Canada

United States

2.9

7.5

6.4

4.4

4.1

4.1

4.1

3.8

3.5

3.4

3.2

* I dati del DLS coprono il periodo dal 1 gennaio 2024 al 23 dicembre 2024.

L'ascesa degli infostealer

TENDENZE DELLA CYBER SECURITY 03

EVENTI DI SICUREZZA INFORMATICA 202402

INTRODUZIONE01

PREVISIONI DEL SETTORE PER IL 202507

RACCOMANDAZIONI DEI CISO 08

ANALISI GLOBALE04

VULNERABILITÀ DI ALTO PROFILO05

PROSPETTIVA DI RISPOSTA AGLI INCIDENTI06

Guerre cibernetiche Edizione 2024

L'ecosistema del ransomware

Complessità del cloud

Dispositivi EDGE e ORB

LO STATO DELLA SICUREZZA INFORMATICA 202542

https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-242a https://www.europol.europa.eu/media-press/newsroom/news/law-enforcement-disrupt-worlds-biggest-ransomware-operation

sanità sono quelli più frequentemente presi di mira. Tuttavia, guardando specificamente all'estorsione ransomware, secondo i dati DLS, l'industria manifatturiera risulta essere il settore più colpito, mentre la pubblica amministrazione e l'istruzione si collocano più in basso nella gerarchia delle vittime. Questa discrepanza riflette probabilmente le differenze specifiche del settore nella loro disponibilità a soddisfare le richieste di riscatto, poiché gli enti governativi e le organizzazioni educative sono generalmente meno inclini a pagare, rendendole obiettivi meno attraenti per gli attori del ransomware.

Nel corso del 2024 gli attori del ransomware hanno preso di mira sempre di più i fornitori di servizi sanitari e medici, rendendo il settore il secondo ambito più colpito.

Ulteriori dettagli sugli sviluppi del ransomware di quest'anno sono disponibili in una sezione dedicata .

Figura 31: distribuzione per settore delle vittime di ransomware, come riportato sui siti della vergogna - 2024

Produzione industriale

Sanità e medicina

Beni e servizi di consumo

Servizi alle imprese

Servizi finanziari

Edilizia e ingegneria

Formazione

Amministrazione

Trasporti e logistica

Software

10%

22%

9%

7%

7%

6%

5%

4%

4%

3%

L'ascesa degli infostealer

TENDENZE DELLA CYBER SECURITY 03

EVENTI DI SICUREZZA INFORMATICA 202402

INTRODUZIONE01

PREVISIONI DEL SETTORE PER IL 202507

RACCOMANDAZIONI DEI CISO 08

ANALISI GLOBALE04

VULNERABILITÀ DI ALTO PROFILO05

PROSPETTIVA DI RISPOSTA AGLI INCIDENTI06

Guerre cibernetiche Edizione 2024

L'ecosistema del ransomware

Complessità del cloud

Dispositivi EDGE e ORB

LO STATO DELLA SICUREZZA INFORMATICA 202543

00 LO STATO DELLA SICUREZZA INFORMATICA 2025

VULNERABILITÀ GLOBALI AD ALTO PROFILO 55

L'elenco delle vulnerabilità più importanti presentato di seguito, si basa sui dati raccolti dalla soluzione IPS (Intrusion Prevention System) di Check Point e mostra nel dettaglio alcune delle tecniche di attacco e degli exploit più comuni e interessanti osservati da Check Point Research (CP<R>) nel 2024.

INIEZIONE DI ARGOMENTI PHP CGI (CVE-2024-4577) CVE-2024-4577 è una vulnerabilità critica di iniezione di comandi in PHP che colpisce specificamente i sistemi Windows che eseguono Apache con PHP-CGI ed è stata sfruttata entro un giorno dal suo rilascio. In particolare, la vulnerabilità riguarda principalmente le installazioni di Windows che utilizzano le impostazioni locali in lingua cinese e giapponese, sebbene siano prese di mira anche altre installazioni. Divulgato come parte di una patch rilasciata nel giugno 2024, il problema deriva dal comportamento "Best-Fit" di Windows durante le conversioni della codifica dei caratteri, che può causare l'interpretazione errata di alcuni caratteri da parte del modulo PHP CGI come opzioni PHP. Ciò consente agli utenti non autenticati di inserire argomenti nel file binario PHP, portando all'esecuzione di codice in modalità remota o all'esposizione di dati sensibili.

Dopo la sua divulgazione, la vulnerabilità è stata rapidamente sfruttata da diversi malintenzionati, anche per la distribuzione di ransomware, e si è osservato che ha avuto un impatto su oltre il 25% delle reti aziendali. La vulnerabilità è stata utilizzata anche per distribuire malware come la Msupedge, Gh0st RAT, i miner di criptovalute RedTail e XMRig.

INIEZIONE DI COMANDO IVANTI (CVE-2024-21887) All'inizio del 2024, è stata scoperta una vulnerabilità critica legata all'iniezione di comando, CVE-2024-21887, nel gateway Connect Secure e Policy Secure di Ivanti. Questo difetto permette agli aggressori di utilizzare i privilegi amministrativi per eseguire comandi arbitrari su un sistema compromesso. In combinazione con CVE-2023-46805, una vulnerabilità di bypass dell'autenticazione, gli aggressori possono ottenere l'esecuzione di codice in modalità remota senza autenticazione. Queste vulnerabilità sono state sfruttate attivamente dagli hacker supportati dallo stato cinese per impiantare web shell, rubare dati sensibili e stabilire la persistenza sul dispositivo compromesso.

BYPASS DELL'AUTENTICAZIONE VMWARE ESXI (CVE-2024-37085) Nel giugno 2024, è stata divulgata una vulnerabilità critica di bypass dell'autenticazione nell'hypervisor ESXi di Broadcom VMware. Questo difetto influisce sull'integrazione di ESXi con Active Directory (AD) per la gestione degli utenti. In particolare, quando un host ESXi viene aggiunto a un dominio AD, concede automaticamente privilegi amministrativi completi ai membri di un gruppo di dominio denominato "ESX Admins". Nello specifico, questo gruppo non esiste per impostazione predefinita in AD ed ESXi non ne verifica l'esistenza al momento dell'integrazione del dominio. Pertanto, qualsiasi utente del dominio con autorizzazioni per creare gruppi può stabilire e assegnare utenti a un gruppo "ESX Admins", ottenendo così l'accesso amministrativo completo all'host ESXi. Questa vulnerabilità è stata sfruttata attivamente da più operatori ransomware, tra cui Storm-0506, Storm-1175, Octo Tempest e Manatee Tempest. In alcuni casi, la tecnica post-compromissione osservata ha condotto all'implementazione di ransomware Akira e Black Basta. Un'analisi dei dati sugli attacchi rivela che le vulnerabilità divulgate nel 2024 e nel 2023 hanno rappresentato

rispettivamente il 4% e il 15% di tutti i tentativi di sfruttamento. Le vulnerabilità recenti sono sempre più gravi, più facili da sfruttare e adottate dagli attori delle minacce più rapidamente rispetto al passato. Tuttavia, gli attori delle minacce continuano a prendere di mira le vulnerabilità più vecchie, con oltre il 57% dei tentativi di sfruttamento che si concentrano su CVE pubblicati nel 2020 o prima. Ciò sottolinea un problema persistente in cui i sistemi rimangono senza patch per anni, anche dopo che le patch vengono rese disponibili.

Earlier

2014

2015

2016

2017

2018

2019

2020

2021

2022

2023

2024 4%

15%

12%

12%

9%

6%

7%

5%

6%

2%

7%

15%

Figura 1: percentuale di attacchi che sfruttano le vulnerabilità per anno di divulgazione nel 2024.

L'ascesa degli infostealer

TENDENZE DELLA CYBER SECURITY 03

EVENTI DI SICUREZZA INFORMATICA 202402

INTRODUZIONE01

PREVISIONI DEL SETTORE PER IL 202507

RACCOMANDAZIONI DEI CISO 08

ANALISI GLOBALE04

VULNERABILITÀ DI ALTO PROFILO05

PROSPETTIVA DI RISPOSTA AGLI INCIDENTI06

Guerre cibernetiche Edizione 2024

L'ecosistema del ransomware

Complessità del cloud

Dispositivi EDGE e ORB

LO STATO DELLA SICUREZZA INFORMATICA 202545

https://www.akamai.com/blog/security-research/2024/jul/2024-php-exploit-cve-one-day-after-disclosure https://www.wiz.io/blog/critical-rce-php-cgi-vulnerability https://www.cisa.gov/news-events/alerts/2024/01/10/ivanti-releases-security-update-connect-secure-and-policy-secure-gateways https://www.cisa.gov/news-events/alerts/2024/01/10/ivanti-releases-security-update-connect-secure-and-policy-secure-gateways https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/24505 https://www.microsoft.com/en-us/security/blog/2024/07/29/ransomware-operators-exploit-esxi-hypervisor-vulnerability-for-mass-encryption/

PROSPETTIVA DI RISPOSTA AGLI INCIDENTI

00 66 LO STATO DELLA SICUREZZA INFORMATICA 2025

Questa sezione si basa sull'esperienza e sui dati raccolti da un'ampia gamma di indagini sugli incidenti e sui casi di mitigazione dell'Incident Response Team di Check Point (CPIRT). A differenza delle altre sezioni, i dati presentati qui provengono da casi di studio di eventi reali che hanno attivato segnalazioni di incidenti, non limitati agli utenti dei prodotti Check Point. La maggior parte degli attacchi ha compromesso i propri obiettivi e ci fornisce una prospettiva diversa sul panorama delle minacce e sulle sfide pratiche affrontate dalle aziende quando le violazioni erano in atto.

FATTORI SCATENANTI DEGLI INCIDENTI I clienti contattano il team di risposta agli incidenti di Check Point a causa di uno o più inneschi provenienti da varie fonti, come avvisi di sicurezza automatizzati, segnalazioni degli utenti, interruzioni del servizio o informazioni raccolte da terze parti, fornitori o agenzie governative. La raccolta e l'analisi di questi fattori scatenanti ci aiuta a capire come vengono scoperte le minacce, quali indicazioni di minaccia hanno maggiori probabilità di richiedere un'azione immediata e come è possibile migliorare la velocità e l'efficacia delle risposte agli incidenti.

L'obiettivo principale dei team di sicurezza è rispondere il prima possibile evitando che un attacco raggiunga la fase di impatto che comporterebbe l'interruzione del servizio o il

35%

1%

1%

1%

3%

26%

13%

8%

6%

5%

Avviso di sicurezza

Disservizio

Attività proattiva

Rapporto utente

Notifica amministrazione

Notifica fornitore

Modifica dettagli finanziari

Messaggio di estorsione

Picco di risorse

Danneggiamento

Figura 1 - Fattori scatenanti più comuni per contattare il team di risposta agli incidenti.

furto di dati. Il 2024 ha segnato la prima volta in cui gli avvisi di sicurezza sono diventati il principale fattore scatenante degli incidenti, superando le interruzioni del servizio come indicatore principale per l'avvio della risposta agli incidenti.

Dei casi in cui il CPIRT è stato contattato quest'anno, il 35% è stato attivato da un avviso proveniente da un prodotto di sicurezza, rispetto a solo il 20% dei nostri casi dell'anno precedente. Questo cambiamento indica un aumento significativo delle competenze dei team di sicurezza e dei progressi nelle tecnologie di rilevamento e prevenzione. Le aziende sono progressivamente in grado di riconoscere gli avvisi provenienti dai sistemi di sicurezza e di identificare le violazioni prima che si trasformino in interruzioni del servizio.

Per esempio, CPIRT ha assistito a diversi tentativi di attacco ransomware rilevati dopo un'installazione di massa di strumenti di accesso remoto come Any Desk e Screen Connect, ma prima dell'inizio della fase di crittografia. Quest'anno CPIRT ha riscontrato diversi casi in cui i team di sicurezza hanno risposto rapidamente agli avvisi di installazione e sono stati in grado di mitigare l'attacco prima che il crittografo ransomware venisse distribuito.

Un altro notevole aumento è il numero di avvisi provenienti dalle indagini proattive dei team e dal Cyber Emergency Response Team (CERT) o dalle note governative. Ciò riflette la crescente consapevolezza delle anomalie di comunicazione e le indagini attive sulle fonti di intelligence e del Dark Web e indica misure di sicurezza informatica migliorate e sempre più mature nel settore.

Concentrandosi sul rilevamento precoce attraverso avvisi di sicurezza e misure proattive, le aziende possono rispondere in modo più efficace alle minacce e ridurre l'impatto degli imprevisti informatici.

AVVISI DI SICUREZZA Le aziende possono identificare sempre più le minacce prima che si intensifichino nelle fasi finali dell'attacco. L'analisi dei diversi tipi di avvisi che spingono i team di sicurezza ad avviare i processi di risposta agli incidenti fornisce utili informazioni su come i team devono essere formati e come dovrebbero operare in queste situazioni.

Reconnaissance

Resource development

Initial access

Execution

Persistence

Privilege escalation

Defense evasion

Credential access

Lateral movement

Command and Control

Exfiltration

Impact

1% 1%

13% 13%

4% 4%

3%

3%

18%

18%

1% 12%

Figura 2 – Tattiche di attacco negli avvisi di sicurezza che attivano le risposte agli incidenti, ordinate in base alla matrice MITRE ATT&CK.

L'ascesa degli infostealer

TENDENZE DELLA CYBER SECURITY 03

EVENTI DI SICUREZZA INFORMATICA 202402

INTRODUZIONE01

PREVISIONI DEL SETTORE PER IL 202507

RACCOMANDAZIONI DEI CISO 08

ANALISI GLOBALE04

VULNERABILITÀ DI ALTO PROFILO05

PROSPETTIVA DI RISPOSTA AGLI INCIDENTI06

Guerre cibernetiche Edizione 2024

L'ecosistema del ransomware

Complessità del cloud

Dispositivi EDGE e ORB

LO STATO DELLA SICUREZZA INFORMATICA 202547

Un'analisi dettagliata degli avvisi di sicurezza attivati dalle tattiche MITRE ATT&CK rivela che la comunicazione di comando e controllo (C2) è l'innesco più comune per la risposta agli incidenti. Le attività malevole relative alla comunicazione C2 possono spesso essere rilevate con mezzi relativamente semplici, come indicatori di compromissione (IoC), firme di rete sospette o insoliti modelli di traffico in uscita. In più, le soluzioni di sicurezza che rilevano queste attività, come i moduli IPS (Intrusion Prevention System) e Anti-Bot/Antivirus (AB/ AV), sono ampiamente implementate in tutti i settori. Questi strumenti migliorano la visibilità delle azioni C2 e contribuiscono a raggiungere un elevato tasso di rilevamento in questa fase.

Il successivo alert tattico maggiore che richiede il coinvolgimento dell'IRT è l'accesso alle credenziali. Anche se questa tattica potrebbe non generare il volume più elevato di avvisi dai prodotti di sicurezza, in molti dei casi CPIRT analizzati, l'accesso alle credenziali è spesso la tattica che porta i team di sicurezza a trasformare una notifica in una risposta completa agli incidenti. I tentativi di accesso alle credenziali includono l'uso di strumenti come Mimikatz per eseguire il dump del processo Lssas.exe ed esfiltrare il file NTDS.dit da un controller di dominio. Di rado

CASO DI STUDIO: RISPOSTA RAPIDA A UNA MINACCIA RANSOMWARE All'inizio di quest'anno, il team MDR (Managed Detection and Response) di Check Point ha avvisato un cliente in Nord America di una potenziale minaccia ransomware. In pochi minuti, il team ha rilevato l'installazione di AnyDesk su più dispositivi all'interno dell'azienda. Gli analisti l'hanno identificato velocemente come un incidente di sicurezza e hanno inoltrato il problema al team di risposta agli incidenti per avviare protocolli di mitigazione e indagine.

L'installazione rapida di strumenti di controllo remoto su più dispositivi è una tattica, una tecnica e una procedura (TTP) nota degli operatori ransomware. Pertanto, il rilevamento di questa attività ha innescato immediatamente una reazione rapida da parte degli analisti esperti.

In questo caso, è stato scoperto che gli strumenti di controllo remoto sono stati distribuiti tramite il Group Policy Object (GPO). Dopo aver esaminato il controller di dominio, è stato trovato un file binario di crittografia in una cartella pubblica, pronto per essere distribuito in tutti i dispositivi all'interno del dominio.

Grazie alla risposta rapida degli analisti, la minaccia è stata mitigata prima che il crittografo potesse essere distribuito, prevenendo così un attacco ransomware potenzialmente grave.

questi avvisi sono trascurati o giustificati come comportamento legittimo dell'utente. Per questo motivo, di solito innescano un'azione immediata e decisiva da parte dei team di sicurezza.

INTERRUZIONI DEL SERVIZIO Come negli anni precedenti, le interruzioni del servizio rimangono un importante fattore scatenante per la risposta agli incidenti. Le interruzioni del servizio includono attacchi come il ransomware, in cui l'interruzione del servizio è causata dalla crittografia e rende inaccessibili le risorse essenziali; blocco del traffico, che impedisce comunicazioni legittime; e attacchi DDoS che sovraccaricano la capacità del sistema, rendendo irraggiungibili i servizi legittimi.

AVVISI DALLE AGENZIE GOVERNATIVE E DAI FORNITORI DI SICUREZZA Nel 2024, sono aumentati i fattori scatenanti degli incidenti derivanti da avvisi emessi da agenzie governative e dai fornitori di sicurezza.

Large outbound traffic

Dark web intelligence

Communication with malicious IPs

Figura 3 - Le principali 3 cause degli avvisi del governo e dei fornitori di sicurezza.

Molti di questi alert si basano sul traffico di rete collegato a indirizzi IP dannosi, spesso identificati come indicatori di compromissione (IoC) associati a specifici attori delle minacce. Un monitoraggio del traffico simile può anche portare ad alert su trasferimenti di dati in uscita insolitamente grandi verso destinazioni sospette, indicando in genere le attività di esfiltrazione degli attori delle minacce.

Il monitoraggio del Dark Web da parte delle agenzie governative e dei fornitori di sicurezza è un'altra fonte fondamentale di informazioni che porta a potenziali avvisi di sicurezza. Ciò include informazioni su credenziali trapelate o dati aziendali sensibili condivisi su forum e mercati del Dark Web.

Tali avvisi di terze parti svolgono un'importante funzione di allerta precoce, consentendo alle aziende di rispondere in modo proattivo a tentativi di spionaggio esterno attendibile prima che le minacce si intensifichino. Dal momento che questi avvisi provengono da entità fidate e di solito vengono sottoposti ad analisi professionali prima dell'emissione, sono altamente affidabili. Ciò spinge le aziende ad agire rapidamente e ad avviare indagini sugli incidenti. Le aziende non dovrebbero affidarsi esclusivamente a entità esterne e dovrebbero condurre regolarmente un monitoraggio proattivo del Dark Web per facilitare il rilevamento precoce delle violazioni.

L'ascesa degli infostealer

TENDENZE DELLA CYBER SECURITY 03

EVENTI DI SICUREZZA INFORMATICA 202402

INTRODUZIONE01

PREVISIONI DEL SETTORE PER IL 202507

RACCOMANDAZIONI DEI CISO 08

ANALISI GLOBALE04

VULNERABILITÀ DI ALTO PROFILO05

PROSPETTIVA DI RISPOSTA AGLI INCIDENTI06

Guerre cibernetiche Edizione 2024

L'ecosistema del ransomware

Complessità del cloud

Dispositivi EDGE e ORB

LO STATO DELLA SICUREZZA INFORMATICA 202548

CASO DI STUDIO: RISPOSTA A UN AVVISO CERT DEL GOVERNO SULL'ESFILTRAZIONE DEI DATI Nell'ottobre 2024, un caso CPIRT è stato innescato da un avviso CERT del governo europeo, che indicava che un indirizzo IP dell'organizzazione stava trasmettendo grandi quantità di dati a un IP associato ad attività di comando e controllo (C2). L'indirizzo IP fornito era l'IP NAT esterno dell'organizzazione, inducendo il team SOC e CPIRT a esaminare i registri del firewall e del DNS per identificare il dispositivo specifico sulla rete responsabile della trasmissione dei dati.

Dall'indagine è emerso che la fonte di trasmissione dei dati era il controller di dominio (DC), utilizzato anche come file server. Sul server, CPIRT ha scoperto strumenti di archiviazione e una recente installazione di FileZilla.

CPIRT ha assistito il cliente nel determinare quali dati potrebbero essere stati esfiltrati e ha condotto un'indagine approfondita per identificare ulteriori punti di appoggio eventuali che l'autore della minaccia avrebbe potuto stabilire all'interno dell'azienda.

RAPPORTI DEGLI UTENTI

I report degli utenti forniscono un'ulteriore fonte per il rilevamento delle minacce, identificando le attività malevole che non sono facilmente rilevabili da altri meccanismi di sicurezza. Man mano che gli utenti diventano più consapevoli dell'importanza della sicurezza, fornisce un ulteriore livello alla strategia di difesa dell'organizzazione. Nel 2024, la maggior parte delle segnalazioni degli utenti riguardava attività malevole palesi, come la crittografia dei file derivante da attacchi ransomware. Tuttavia, gli utenti hanno segnalato sempre più tentativi sospetti di autenticazione a più fattori (MFA) che non hanno avviato. Anche le segnalazioni di e-mail sospette e tentativi di phishing hanno spesso portato al rilevamento di attività dannose.

RICERCA PROATTIVA DELLE MINACCE

L'anno scorso si è assistito a un aumento degli incidenti innescati da attività di prevenzione e dalla ricerca delle minacce guidate dai team di sicurezza, rispetto alle risposte agli avvisi di sistema. Questi incidenti spesso derivano dall'esame dei registri di sistema, dal comportamento degli utenti e dal traffico di rete insolito per l'ambiente. I team di sicurezza esperti nella propria topologia di

27%

27%

27%

7%Suspicious financial request

Suspicious emails

Encrypted files

Suspicious MFA request

Figura 4 - Principali cause per cui gli utenti segnalano gli eventi imprevisti.

6%

24%

53%

Credential exposure

Communication with suspicious IPs

Authentication anomaly

Figura 5 - Risultati nelle attività proattive che innescano gli imprevisti.

rete possono identificare più facilmente le attività sospette rispetto ai prodotti di sicurezza esterni.

Le aree chiave su cui concentrarsi in modo proattivo includono comportamenti anomali da parte di "utenti amministratori" e modelli di traffico sospetti che non si allineano con il normale flusso operativo, come il traffico da e verso paesi con cui l'azienda non intrattiene rapporti commerciali.

Con una ricerca proattiva degli indicatori di compromissione nascosti, le aziende possono rilevare e mitigare le minacce che eludono gli strumenti di rilevamento automatizzato, rafforzando un approccio di sicurezza a più livelli.

TIPI DI ATTACCO Nel 2024, il ransomware ha continuato a dominare il panorama delle minacce alla sicurezza informatica. La famiglia ransomware più diffusa nei casi di risposta agli incidenti nell'anno è stata LockBit, seguita da Akira e Black Basta.

Altri tipi di minaccia degni di nota sono gli attacchi Business Email Compromise (BEC) e DDOS. Il 25% dei casi di attacchi CPIRT è stato identificato ed evitato nelle fasi iniziali, rendendo difficile determinare il tipo di attacco.

Figura 6 - Principali categorie di attacco nei casi di CPIRT nel 2024.

Ransomware

53%

BEC

10%

DDOS

8%

Wiper

4%

Disrupted in preliminary stage

25%

L'ascesa degli infostealer

TENDENZE DELLA CYBER SECURITY 03

EVENTI DI SICUREZZA INFORMATICA 202402

INTRODUZIONE01

PREVISIONI DEL SETTORE PER IL 202507

RACCOMANDAZIONI DEI CISO 08

ANALISI GLOBALE04

VULNERABILITÀ DI ALTO PROFILO05

PROSPETTIVA DI RISPOSTA AGLI INCIDENTI06

Guerre cibernetiche Edizione 2024

L'ecosistema del ransomware

Complessità del cloud

Dispositivi EDGE e ORB

LO STATO DELLA SICUREZZA INFORMATICA 202549

Nel 2024, le esperienze e i dati raccolti dal Team di risposta agli incidenti di Check Point dimostrano che le organizzazioni che danno priorità agli avvisi di sicurezza e sfruttano le informazioni ricavate dai dati sono meglio attrezzate per contrastare le minacce prima che si intensifichino, salvaguardando in ultima analisi le loro risorse critiche.

TIM OTIS

Responsabile della risposta agli incidenti e rilevamento e risposta gestiti

RANSOMWARE ESXI Nel 2024, l'11% degli attacchi ransomware studiati ha preso di mira in modo specifico i server VMware ESXi, che sono ambienti virtualizzati fondamentali per molte infrastrutture aziendali. Concentrandosi sui server ESXi, gli aggressori possono rendere inaccessibili molteplici server essenziali, compromettendo un singolo dispositivo. Questa strategia consente loro di causare interruzioni sostanziali senza infettare l'intera rete o la base del server con malware di crittografia. I gruppi di ransomware che prendono di mira i server VMware ESXi comprendono il gruppo ransomware Akira che ha sfruttato due vulnerabilità di esecuzione di codice remoto (RCE) in ESXi: CVE-2023-20867 e CVE-2024-37085.

11% DEGLI ATTACCHI RANSOMWARE STUDIATI HA PRESO DI MIRA IN MODO SPECIFICO I SERVER VMWARE ESXI, CHE SONO AMBIENTI VIRTUALIZZATI FONDAMENTALI PER MOLTE INFRASTRUTTURE AZIENDALI.

CONCLUSIONI I risultati del CPIRT 2024 mostrano progressi incoraggianti nel rilevamento precoce delle minacce e nelle misure di sicurezza proattive tra le aziende. Gli avvisi di sicurezza hanno superato le interruzioni del servizio come fattore scatenante principale per la risposta agli incidenti e c'è un maggiore coinvolgimento nella ricerca proattiva delle minacce e nella consapevolezza degli utenti. Queste informazioni mettono in luce la necessità di una vigilanza continua, di un perfezionamento delle capacità di rilevamento e della collaborazione con fonti di intelligence esterne per rafforzare la flessibilità della sicurezza informatica.

L'ascesa degli infostealer

TENDENZE DELLA CYBER SECURITY 03

EVENTI DI SICUREZZA INFORMATICA 202402

INTRODUZIONE01

PREVISIONI DEL SETTORE PER IL 202507

RACCOMANDAZIONI DEI CISO 08

ANALISI GLOBALE04

VULNERABILITÀ DI ALTO PROFILO05

PROSPETTIVA DI RISPOSTA AGLI INCIDENTI06

Guerre cibernetiche Edizione 2024

L'ecosistema del ransomware

Complessità del cloud

Dispositivi EDGE e ORB

LO STATO DELLA SICUREZZA INFORMATICA 202550

PREVISIONI DEL SETTORE PER IL 2025 THE FUTURE OF CYBERSECURITY

00 77 LO STATO DELLA SICUREZZA INFORMATICA 2025

Le piattaforme cloud diventano la spina dorsale della sicurezza informatica

Le piattaforme basate sul cloud svolgono sempre più un ruolo basilare per la sicurezza informatica, con l'integrazione basata sull'intelligenza artificiale che si sta dimostrando più efficace degli strumenti autonomi. Riunendo varie operazioni di sicurezza, queste piattaforme riducono la complessità, permettendo alle aziende di affrontare le minacce e le vulnerabilità nel cloud con maggiore efficienza ed efficacia. Soluzioni come CNAPP, ASPM e DSPM si uniscono per creare suite di gestione della posizione di sicurezza (SPM) onnicomprensive.

Man mano che emergono nuovi strumenti come Application and Data SPM, questi saranno probabilmente integrati in una più ampia piattaforma di protezione delle applicazioni native per il cloud (CNAPP), portando potenzialmente allo sviluppo di quella che potrebbe essere chiamata Extended Security Posture Management (XSPM). L'integrazione della Gestione della Superficie di Attacco in questa nuova categoria mostra come queste piattaforme possano offrire più valore di una semplice raccolta di soluzioni specifiche, cambiando radicalmente il modo in cui le aziende affrontano le vulnerabilità.

Aumento dei rischi di utilizzo improprio dell'intelligenza artificiale e violazione dei dati

Man mano che le tecnologie IA si integrano negli ambienti personali e sul posto di lavoro, crescono le preoccupazioni per il loro utilizzo improprio. Quest'anno, il potenziale di violazioni dei dati causate dalla condivisione involontaria di informazioni sensibili da parte dei dipendenti con piattaforme di intelligenza artificiale come ChatGPT o Gemini di Google rappresenta un rischio notevole. I dipendenti possono inserire informazioni riservate, come dati finanziari, per generare report o analisi, spesso senza rendersi conto che persone non autorizzate potrebbero archiviare e accedere a questi dati. Stabilire controlli più rigorosi sugli strumenti di intelligenza artificiale all'interno dei sistemi di un'azienda sarà fondamentale per trovare un equilibrio tra il miglioramento della produttività e la garanzia della protezione della privacy dei dati.

Crimini finanziari alimentati dall'intelligenza artificiale

Il 2024 è iniziato con i titoli dei giornali che riportavano notizie su casi sporadici, ma di successo di violazioni finanziarie alimentate dall'intelligenza artificiale generativa. I criminali informatici hanno riconosciuto le potenzialità della GenAI e hanno iniziato a investire nella sua integrazione in diversi strumenti tecnologici, in particolare per i metodi di bypass Business Email Compromise (BEC) e

Know Your Customer (KYC). Queste minacce si diffonderanno maggiormente in quest'anno, poiché i criminali stanno lavorando assiduamente per implementare l'intelligenza artificiale generativa in questi servizi malevoli.

Aumento degli attacchi nel processo di produzione nei progetti open-source

Man mano che i progetti open source ottengono maggiore popolarità, diventano sempre più bersagli attraenti per gli attori malintenzionati che mirano a sfruttare segretamente le vulnerabilità in software ampiamente utilizzati. A seguito di una sofisticata operazione pluriennale, che ha inserito una backdoor in Linux XZ Utils, possiamo aspettarci nuovi tentativi di attacco simili e la scoperta di backdoor impiantate in precedenza. Questa crescente minaccia evidenzia il bisogno urgente di rafforzare le misure di sicurezza e mantenere la vigilanza all'interno della comunità open source.

Decentramento degli ecosistemi del crimine informatico

I recenti successi delle forze dell'ordine nella lotta contro le principali operazioni ransomware e le botnet hanno spinto i malintenzionati a passare a reti, metodologie e operazioni più piccole e decentralizzate. I grandi progetti di ransomware si sono ristrutturati in gruppi più piccoli, mentre gli ecosistemi basati su infostealer sono emersi come mezzo principale per facilitare l'accesso iniziale. Questa decentralizzazione richiede che i difensori adattino le loro strategie, sottolineando l'importanza di una maggiore collaborazione e condivisione dell'intelligence.

Aumento dei requisiti normativi e standard di assicurazione informazione più severi

Le aziende si troveranno ad affrontare una crescente pressione a causa delle nuove normative sulla sicurezza informatica, tra cui le normative IoT dell'UE, le regole di divulgazione della sicurezza informatica della SEC, il Digital Operational Resilience Act (DORA) e la direttiva NIS2. La conformità a queste strutture richiederà un investimento significativo di tempo e risorse per iniziative quali lo sviluppo di politiche e nuove tecnologie di sicurezza.

Se da un lato queste normative mirano a migliorare le misure di sicurezza, dall'altro creano ulteriori complessità operative. Ciò richiede alle aziende di riporre maggiore attenzione e sforzi per soddisfare gli standard. Inoltre, si prevede che le polizze assicurative informatiche diventeranno più severe, con gli assicuratori che imporranno controlli più rigorosi e requisiti di conformità come prerequisiti per la copertura. Ciò intensificherà ulteriormente le sfide normative che le organizzazioni devono affrontare.

Il crescente divario di talenti nella sicurezza informatica

La carenza globale di professionisti della sicurezza informatica rappresenta una sfida significativa per le organizzazioni che cercano di difendersi dalla complessità e dal volume delle minacce informatiche in crescita. Mentre le aziende investono in prodotti per la sicurezza versatili, la necessità di esperti più qualificati per gestire e integrare efficacemente questi strumenti si traduce in un approccio alla sicurezza frammentato e inefficiente. La dipendenza da numerosi fornitori e l'insufficiente conoscenza interna espongono le aziende ad attacchi, poiché le misure di sicurezza diventano sempre più complesse e meno efficaci. Le aziende dovranno semplificare le operazioni di sicurezza e dare priorità all'aggiornamento del personale per mantenere la resilienza.

L'ascesa degli infostealer

TENDENZE DELLA CYBER SECURITY 03

EVENTI DI SICUREZZA INFORMATICA 202402

INTRODUZIONE01

PREVISIONI DEL SETTORE PER IL 202507

RACCOMANDAZIONI DEI CISO 08

ANALISI GLOBALE04

VULNERABILITÀ DI ALTO PROFILO05

PROSPETTIVA DI RISPOSTA AGLI INCIDENTI06

Guerre cibernetiche Edizione 2024

L'ecosistema del ransomware

Complessità del cloud

Dispositivi EDGE e ORB

LO STATO DELLA SICUREZZA INFORMATICA 202552

RACCOMANDAZIONI DEICISO

00 88 LO STATO DELLA SICUREZZA INFORMATICA 2025

Mentre riflettiamo sugli incidenti del 2024, è fondamentale concentrarsi sugli elementi chiave che hanno portato al successo dei malintenzionati e sulle mitigazioni strategiche che i difensori possono mettere in campo per contrastare tali minacce. Questa introduzione riassume le informazioni fondamentali acquisite e fornisce raccomandazioni attuabili per professionisti della sicurezza informatica. Queste linee guida fungono da quadro pratico per migliorare le difese e prevenire gli incidenti gravi descritti nel rapporto, affrontando problemi sistemici comuni ed errori che storicamente hanno contribuito agli attacchi informatici.

JONATHAN FISCHBEIN

CISO globale di Check Point Software EMEA & LATAM

1. Adotta un approccio a più livelli all'interno del tuo impianto di sicurezza

Le aziende dovrebbero implementare una strategia di sicurezza a più livelli che includa backup regolari dei dati, formazione dei dipendenti sulla consapevolezza del phishing e un solido filtraggio delle e-mail per ridurre il rischio di ransomware e ladri di informazioni. L'utilizzo di strumenti di rilevamento e risposta degli endpoint (EDR) può aiutare a identificare e isolare le minacce in anticipo. Inoltre, il mantenimento di rigorosi controlli di accesso e l'impiego dei principi del privilegio minimo possono limitare i potenziali danni in caso di violazione. L'aggiornamento regolare di software e sistemi per correggere le vulnerabilità e l'esecuzione di valutazioni di sicurezza costanti e di esercitazioni di risposta agli incidenti sono essenziali per garantire la prontezza contro gli attacchi.

2. Dai priorità alle soluzioni avanzate di sicurezza del cloud

Le aziende dovrebbero dare priorità alla sicurezza delle API, alla gestione dell'identità e a un'architettura zero-trust per affrontare le vulnerabilità del cloud. Solidi gateway API e valutazioni regolari della sicurezza possono attenuare i rischi dello scambio dei dati. L'implementazione dell'accesso con privilegi minimi e dell'autenticazione a più fattori è essenziale per proteggere le risorse. Un modello zero-trust migliora la sicurezza verificando gli utenti e il dispositivo prima dell'accesso. Gli strumenti di gestione delle posizioni di sicurezza del cloud (CSPM) identificano e correggono le configurazioni errate, mentre le piattaforme di protezione dei carichi di lavoro in cloud (CWPP) proteggono i carichi di lavoro stessi. Queste strategie aiutano collettivamente a gestire in modo efficace i rischi dell'infrastruttura in cloud.

3. Sfruttare l'intelligenza artificiale per la prevenzione e il rilevamento

Sfrutta la potenza delle tecnologie avanzate di intelligenza artificiale per migliorare le strategie di prevenzione e rilevamento. Sviluppando sistemi solidi e basati sull'intelligenza artificiale, le aziende possono identificare e mitigare efficacemente le potenziali minacce prima che queste si intensifichino. Questo approccio proattivo prevede l'implementazione di soluzioni automatizzate che sfruttano le funzionalità di intelligenza artificiale per fornire un

rilevamento tempestivo e accurato dei problemi in tempo reale. Tali sistemi migliorano la sicurezza generale e semplificano gli sforzi di risposta, permettendo ai team di agire in modo rapido ed efficiente contro le sfide emergenti.

4. Ottieni una visione a 360 gradi su tutta la tua superficie di attacco

I criminali sfruttano le vulnerabilità derivanti dalle pratiche bring-your-own-device e dalle applicazioni native in cloud, aumentando il rischio di violazioni a causa di problemi come credenziali codificate e autenticazione debole. Spesso utilizzano credenziali e strumenti legittimi, offuscando il confine tra la normale attività dell'utente e le azioni malevole. Le aziende devono comprendere il legame tra identità, cloud, endpoint e protezione dei dati per identificare queste minacce su più sistemi. Con un'azienda media che utilizza più di 45 strumenti di sicurezza, i silos di dati possono portare a lacune di visibilità. Una piattaforma di sicurezza unificata con funzionalità di intelligenza artificiale accresce la visibilità e

il controllo, migliorando il rilevamento e la prevenzione delle violazioni e risparmiando tempo e denaro.

5. Sviluppa un programma di fiducia per i clienti per garantire la conformità

Le aziende devono istituire un programma di fiducia dei clienti per garantire la conformità nell'ambiente normativo odierno in rapida evoluzione. L'implementazione dell'automazione per la conformità può semplificare il rispetto di normative rigorose e ridurre l'errore umano durante gli audit e la reportistica. Dare priorità alla sovranità dei dati consente alle aziende di mantenere il controllo sulle informazioni sensibili. Incorporando la privacy sin dalla progettazione, le aziende possono proteggere in modo proattivo i dati dei clienti, migliorare la sicurezza e restare al passo con le minacce digitali. Questo approccio favorisce una solida struttura di conformità, che in ultima analisi crea fiducia nei clienti.

L'ascesa degli infostealer

TENDENZE DELLA CYBER SECURITY 03

EVENTI DI SICUREZZA INFORMATICA 202402

INTRODUZIONE01

PREVISIONI DEL SETTORE PER IL 202507

RACCOMANDAZIONI DEI CISO 08

ANALISI GLOBALE04

VULNERABILITÀ DI ALTO PROFILO05

PROSPETTIVA DI RISPOSTA AGLI INCIDENTI06

Guerre cibernetiche Edizione 2024

L'ecosistema del ransomware

Complessità del cloud

Dispositivi EDGE e ORB

LO STATO DELLA SICUREZZA INFORMATICA 202554

6. Implementa il programma di gestione delle vulnerabilità e dei rischi L'insorgere rapido di nuove vulnerabilità, in particolare gli attacchi zero-day, rappresentano una sfida significativa per la gestione delle vulnerabilità stesse. In particolare i dispositivi edge, spesso accessibili pubblicamente, sono a rischio. Per gestire con efficacia tali rischi, è fondamentale valutarne i livelli di minaccia e assegnarne la priorità di conseguenza, consentendo una rapida applicazione di patch. Le risorse rivolte all'esterno e i sistemi essenziali dovrebbero essere l'obiettivo principale.

Inoltre, l'utilizzo di threat intelligence insieme alla gestione esterna della superficie di attacco offre una visione preziosa sul modo in cui gli avversari percepiscono le misure di sicurezza. Con queste informazioni, è possibile implementare strategie di prevenzione immediate.

7. Scegli un produttore di sicurezza di tua fiducia Quando scegli un produttore di sicurezza che incarni la fiducia digitale, cerca un'azienda con una comprovata esperienza di pratiche di sicurezza efficaci e bassi tassi di vulnerabilità. Dai la priorità ai fornitori che garantiscono il rilascio tempestivo delle patch, consentendo agli utenti di affrontare rapidamente le potenziali minacce. In più, valuta le loro strategie di risposta agli incidenti e la cronologia della gestione delle violazioni.

8. Ottimizza le operazioni di sicurezza Data la carenza di personale qualificato per la sicurezza informatica, l'intelligenza artificiale è essenziale per migliorare l'efficienza in modo che i team possano gestire meglio e dare priorità alla gestione delle minacce. Gli strumenti di intelligenza artificiale possono automatizzare le attività ripetitive, riducendo al minimo il tempo dedicato ad attività come l'analisi degli eventi e la risoluzione dei problemi con l'automazione. I professionisti della sicurezza possono concentrarsi sull'innovazione strategica e sulle misure proattive con processi semplificati.

9. Attenzione alla capacità di recupero e risposta agli incidenti Le aziende devono dare la priorità alla capacità di recupero operativo, mentre affrontano le crescenti minacce derivanti dal ransomware e dalla guerra informatica geopolitica. Per rafforzare la tua strategia IT, assicurati che le tue operazioni siano isolate in maniera efficace. Questo approccio migliorerà la risposta agli incidenti in caso di attacco. In più, valuta e aggiorna i tuoi disaster recovery plan per ridurre al minimo le interruzioni causate da attacchi informatici o interruzioni IT. La formazione degli utenti è fondamentale per la prevenzione di infezioni da malware. I dipendenti devono conoscere le fonti di file ed e-mail e sapere se possono fidarsi dei mittenti. I metodi di infezione ransomware più comuni sono ancora le e-mail di phishing e i download dannosi sul web. Una maggiore consapevolezza degli utenti spesso previene gli attacchi. Educa i tuoi utenti e spronali a segnalare immediatamente qualsiasi cosa insolita o sospetta al team di sicurezza.

L'ascesa degli infostealer

TENDENZE DELLA CYBER SECURITY 03

EVENTI DI SICUREZZA INFORMATICA 202402

INTRODUZIONE01

PREVISIONI DEL SETTORE PER IL 202507

RACCOMANDAZIONI DEI CISO 08

ANALISI GLOBALE04

VULNERABILITÀ DI ALTO PROFILO05

PROSPETTIVA DI RISPOSTA AGLI INCIDENTI06

Guerre cibernetiche Edizione 2024

L'ecosistema del ransomware

Complessità del cloud

Dispositivi EDGE e ORB

LO STATO DELLA SICUREZZA INFORMATICA 202555

CONTATTACI

Headquarters mondiale

5 Shlomo Kaplan Street, Tel Aviv 6789159, Israele

Tel: +972-3-753-4599

Email: info@checkpoint.com

Headquarters Stati Uniti

100 Oracle Parkway, Suite 800, Redwood City, CA 94065

Tel: 800-429-4391

Sotto Attacco?

Contatta il nostro team di risposta agli incidenti

emergency-response@checkpoint.com

Blog di Check Point Research

Per ricevere le nostre ultime ricerche e altri contenuti esclusivi,

visita www.research.checkpoint.com

www.checkpoint.com

ULTERIORI INFORMAZIONI SU CHECK POINT SOFTWARE TECHNOLOGIES LTD.

Check Point Software Technologies Ltd. (www.checkpoint.com) è un fornitore leader di piattaforme basate sull’intelligenza artificiale e sulla sicurezza informatica basata sul cloud, che protegge più di 100.000 aziende in tutto il mondo. Check Point sfrutta la potenza dell’intelligenza artificiale ovunque per migliorare efficienza e accuratezza della sicurezza informatica attraverso la sua piattaforma Infinity, con i migliori tassi di cattura del settore, che consente di anticipare in modo proattivo le minacce con tempi di risposta più rapidi. La piattaforma completa include tecnologie fornite in cloud costituite da Check Point Harmony per mettere in sicurezza lo spazio di lavoro, Check point CloudGuard per proteggere il cloud, Check Point Quantum per rendere sicura la rete e Check Point Infinity Core Services per operazioni di sicurezza e servizi collaborativi.

mailto:info%40checkpoint.com?subject= mailto:emergency-response%40checkpoint.com?subject= https://www.research.checkpoint.com http://www.checkpoint.com

© 2025 Check Point Software Technologies Ltd. Tutti i diritti riservati.