REPORT SULLA SICUREZZA INFORMATICA 2023

2CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023

TI MERITI

LA MIGLIORE SICUREZZA

3CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023

CAPITOLO 1: INTRODUZIONE AL REPORT SULL A SICUREZ Z A INFORMATICA 2023 A CURA DI MAYA HOROWITZ

CAPITOLO 2: CRONOLOGIA DEI PRINCIPALI AT TACCHI INFORMATICI DEL 2022

CAPITOLO 3: TREND DI SICUREZ Z A INFORMATICA DEL 2022 20 Conflitto russo-ucraino

22 L'anno dei wiper

26 L’Hacktivismo è il nuovo protagonista dello scenario geopolitico

30 Strumenti legittimi che diventano armi

34 Estorsione tramite ransomware: dalla crittografia all'estorsione dei dati

38 Panorama dei malware per dispositivi mobili: rischi correlati agli strumenti considerati affidabili

41 Cloud: minacce di terze parti

CAPITOLO 4: ANALISI GLOBALE

CAPITOLO 5: V ULNER ABIL ITÀ GLOBALI DI ALTO PROFILO

CAPITOLO 6: PANOR AMICA DELL A RISPOSTA AGLI INCIDENTI

CAPITOLO 7: INSIGHT 2023 PER I CISO: INTERRUZIONE E DISTRUZIONE

CAPITOLO 8: PRE VENZIONE, UN OBIE T TIVO R AGGIUNGIBILE

CAPITOLO 9: DESCRIZIONE DELLE FAMIGLIE DI MALWARE

CAPITOLO 10: CONCLUSIONI

S O M M A R I O

04

07 19

44 63 68 75 85 97 107

4CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 4

C A P I T O L O 1

INTRODUZIONE AL REPORT SULLA SICUREZZA INFORMATICA 2023 DI CHECK POINT

5CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 5

M A Y A H O R O W I T Z VP Research, Check Point

Nel 1976 la regina Elisabetta II invia la prima e-mail della storia sulla rete

ARPANET, 7 anni prima dell'invenzione di Internet e ben 13 anni prima del primo

attacco hacker noto.

Quasi 50 anni dopo, le e-mail sono ormai un comune metodo di comunicazione,

nonché il principale vettore di attacco. Il report sulla sicurezza annuale di Check

Point Research (cp<r>) mostra infatti che, nel 2022, il volume di attacchi sferrati

tramite e-mail è cresciuto fino alla percentuale record dell'86% di tutti gli attacchi

basati su file in circolazione.

Nel nostro report sulla sicurezza discutiamo di ulteriori trend osservati da cp<r>

nel corso dell'anno. Il conflitto russo-ucraino ha mostrato come la tradizionale

guerra cinetica possa essere aggravata dalla guerra cibernetica. La guerra

ha influenzato il panorama generale delle minacce con la rapida evoluzione

dell'hacktivismo e e il modo in cui gli attori delle minacce indipendenti scelgono

di mettersi al servizio di missioni affiliate allo Stato. La guerra ha evidenziato

una tendenza verso un maggiore uso di malware wiper, il cui numero nel solo

2022 è più alto di quello degli attacchi dell'intero decennio precedente. Anche

il tradizionale crimine informatico è cambiato: nel 2022, gli attaccanti hanno

iniziato a impiegare strumenti più legittimi, tra cui file nativi dei sistemi operativi,

software IT e strumenti per i test di penetrazione, continuando così ad agire

nell'ombra. Per quanto riguarda i ransomware, gli attaccanti gradualmente non

si concentrano più sulla crittografia, perché i maggiori profitti provengono da

violazioni dei dati delle vittime e minacce di pubblicazione. Se sui dispositivi mobili

gli hacker hanno imparato a imitare le applicazioni legittime, nel cloud i dati delle

aziende sono a rischio soprattutto quando ospitati da terze parti: sono soggetti ad

attacchi a causa di configurazioni errate, ruoli e autorizzazioni troppo permissivi e

chiavi di accesso conservate pubblicamente.

C A P I T O L O 1

6CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 6

Negli ultimi giorni del 2022 abbiamo assistito all'impressionante progresso

dell'intelligenza artificiale generativa, ora disponibile al pubblico e capace di

generare testi on demand altamente professionali (codice compreso) in pochi

secondi. Nel 2023 dobbiamo tenere a mente che questa tecnologia può essere

rapidamente adottata per creare e-mail ancora più pericolose, di qualità migliore

di quelle tradizionali , in generale, con infinite variazioni di malware e codici

dannosi. Questa è solo l’ennesima prova dell'importanza della prevenzione degli

attacchi zero-day in tutta l'infrastruttura IT, compresi e-mail, endpoint, rete, cloud

e componenti intermedi.

Check Point Software si impegna a garantire ai suoi clienti la migliore soluzione

di sicurezza prevention-first per ogni area. Con questo report annuale sulla

sicurezza, Check Point Research intende contribuire a sensibilizzare ed elevare il

livello di vigilanza per prevenire insieme il prossimo attacco informatico.

Maya Horowitz VP Research di Check Point Software Technologies

C A P I T O L O 1

7CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 7

C A P I T O L O 2

CRONOLOGIA DEI PRINCIPALI ATTACCHI INFORMATICI DEL 2022

8CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023

L'Ucraina è stata colpita da un attacco informatico su vasta scala che ha bloccato i siti Web di molti dei suoi enti pubblici e ministeri. I responsabili delle minacce hanno deturpato il sito Web del Ministero degli Affari Esteri con il messaggio minaccioso "Ucraini!… Tutte le

informazioni su di voi sono state rese pubbliche. Preparatevi al peggio.". I ricercatori hanno rinvenuto le prove di una vasta operazione in corso contro varie organizzazioni ucraine, che

sfruttava un malware camuffato da ransomware per rendere inutilizzabili i sistemi.

I canali televisivi e una stazione radio gestiti da un'emittente statale iraniana hanno subito un complesso attacco hacker a opera di un gruppo di opposizione in esilio. Il gruppo hacktivista Edalat-e Ali (la giustizia di Ali) ha attaccato il sito Web dell'emittente e trasmesso un video

con un forte messaggio di opposizione. Il video mostra delle persone allo stadio Azadi di Teheran che gridano "Morte al dittatore", riferendosi al leader supremo Ali Khamenei, per poi passare al primo piano di un uomo

mascherato, simile al protagonista del film V per Vendetta, che afferma: "Khamenei ha paura, il regime vacilla". Check Point Research ha svolto un'approfondita

analisi tecnica di uno degli attacchi. Abbiamo individuato alcuni degli strumenti utilizzati nell'operazione, tra cui le prove dell'uso di un malware wiper distruttivo.

Un importante attacco ransomware ha interrotto le operazioni dei terminal dei porti petroliferi di Belgio, Germania e Paesi Bassi, colpendo almeno 17 porti e ostacolando le

attività di carico e scarico dei cargo di prodotti raffinati. Si sospetta che dietro questo attacco si celi il gruppo di criminali informatici BlackCat.

L'Ucraina è stata al centro di una serie di attacchi DDoS mirati diretti contro le sue forze armate, il Ministero della Difesa, la radio pubblica e i siti Web delle banche nazionali. Il governo statunitense ha ufficialmente attribuito gli attacchi al Direttorato generale dello

Stato Maggiore delle forze armate russe.

C A P I T O L O 2

UCR A IN A IR A N

GENNAIO

FEBBRAIO

9CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023

Check Point Research ha pubblicato i dati relativi agli attacchi informatici osservati nel conflitto russo-ucraino. Gli attacchi informatici contro il settore militare e pubblico dell'Ucraina sono aumentati del 196% nei primi tre giorni del conflitto. Gli attacchi

informatici contro le organizzazioni russe sono aumentati del 4%. Le e-mail di phishing nelle lingue slave dell'est sono aumentate di 7 volte.

Dopo l'annuncio di OpenSea relativo all'intenzione di stipulare un contratto di migrazione, Check Point Research ha osservato che gli attaccanti hanno sfruttato il processo di upgrade

per truffare gli utenti di NFT, appropriandosi di milioni di dollari.

Gruppi di attaccanti sostenuti dallo stato sfruttano la guerra tra Russia e Ucraina per lo spionaggio informatico

CPR ha osservato che i gruppi APT (Advanced Persistent Threat) di tutto il mondo stanno lanciando nuove campagne o adattando rapidamente quelle già in corso per colpire le vittime con e-mail di spear-phishing sfruttando la guerra come esca.

https://research.checkpoint.com/2022/state-sponsored-attack-groups-capitalise-on-russia-ukraine-war-for-cyber-espionage/

L'esercito “IT” ucraino, formato da personale informatico operativo e volontari di tutto il mondo,

ha rivendicato gli attacchi che hanno bloccato vari siti Web chiave russi e bielorussi, incluso il sito ufficiale del Cremlino.

Come parte dell'attacco a NVIDIA a opera della gang di ransomware Lapsus$, sono stati sottratti 2 codici per la firma dei certificati utilizzati per driver e file eseguibili. Gli attaccanti hanno già iniziato a

usare questi certificati per firmare i malware, nella speranza di evadere i controlli di sicurezza. La gang ransomware Lapsus$, che ha rivendicato la violazione del colosso informatico NVIDIA, è riuscita a

violare anche i sistemi del produttore coreano Samsung, pubblicando su Internet 190 GB di dati sensibili.

C A P I T O L O 2

UCR A IN AGERM A NI A PA ESI B A S SIBELGIO

MARZO

10CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023

Miratorg Agribusiness Holding, uno dei più importanti produttori di carne della Russia, ha subito un grave attacco informatico. Gli attori delle minacce hanno utilizzato Windows BitLocker per crittografare interi volumi nei sistemi IT della vittima e chiedere un riscatto. L'attacco ha

interrotto la distribuzione dei prodotti per diversi giorni.

Check Point Research (CPR) ha rilevato un forte aumento degli attacchi sferrati dai gruppi APT (Advanced Persistent Threat) di tutto il mondo, che sfruttano la guerra fra Russia e Ucraina come esca. La maggior parte degli attacchi inizia con e-mail di spear-phishing contenenti documenti con macro dannose, che

rilasciano malware come la backdoor Loki.Rat.

La nuova vulnerabilità Spring4shell (CVE-2022-22965) è stata attivamente utilizzata dai responsabili delle minacce fin dall'inizio di aprile, sfruttando la botnet Mirai. La regione di Singapore è stata una delle aree geografiche più colpite. L'analisi di Check Point Research rivela che il 16% delle aziende di tutto il mondo è stato colpito da Spring4Shell nei primi 4 giorni dalla comparsa della vulnerabilità. VMware ha rilasciato gli aggiornamenti di sicurezza necessari per eliminare dai suoi prodotti questo difetto critico che permette

l'esecuzione di codice da remoto.

Check Point Research ha identificato "ALHACK", un set di vulnerabilità nel formato audio ALAC che avrebbe potuto essere sfruttato per eseguire codice da remoto su due terzi dei dispositivi mobili di tutto il mondo. Le vulnerabilità riguardavano gli smartphone con sistema Android basati su chip MediaTek e

Qualcomm, i due più grandi produttori di chipset per dispositivi mobili.

Check Point Research ha identificato una vulnerabilità nel wallet blockchain Everscale. Se un attaccante avesse voluto sfruttarla, avrebbe ottenuto il pieno controllo sul wallet e i fondi della vittima. La vulnerabilità è stata scoperta nella versione Web del wallet Everscale, noto come Ever Surf. Disponibile su Google Play Store e sull'App Store di Apple, Ever Surf è una soluzione di messaggistica

inter-piattaforma, un browser basato sulla blockchain e un wallet di criptovalute basato sulla blockchain di Everscale.

C A P I T O L O 2

RUS SI A

S ING A PORE

APRILE

11CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023

Il governo del Costa Rica ha dichiarato lo stato di emergenza in seguito a un attacco ransomware devastante da parte del gruppo Conti. L'attacco ha colpito diversi enti pubblici, come il

Ministero delle Finanze, il Fondo di previdenza sociale costaricano e il Ministero della Scienza, dell'Innovazione, della Tecnologia e delle Telecomunicazioni. Secondo le stime, le interruzioni dei servizi sulle piattaforme del fisco e delle dogane hanno causato una perdita di 200 milioni di dollari. Il gruppo Conti avrebbe messo offline la propria infrastruttura dopo l'annuncio dei leader

riguardante la riorganizzazione delle loro operazioni. La notizia è giunta pochi giorni dopo l'estorsione ai danni del governo del Costa Rica. Si pensa che al momento i membri del gruppo Conti stiano migrando ed effettuando un rebranding verso

operazioni ransomware di dimensioni ridotte.

Il Lincoln College, istituto dell'Illinois attivo da 157 anni, ha annunciato la sua chiusura definitiva dopo un grave attacco ransomware che ha colpito i sistemi operativi scolastici nel dicembre 2021.

Sberbank, un'organizzazione di servizi bancari russa, nell'ultimo mese è stata bersaglio di attacchi continui da parte di hacker filoucraini. La banca è stata recentemente colpita dal più grande

attacco denial-of-service (DDoS) mai registrato, della portata di 450 GB/sec.

Il gruppo hacker Turla, sponsorizzato dal governo russo, ha lanciato una campagna di perlustrazione contro la Camera di Commercio austriaca, una piattaforma NATO

e il Baltic Defense College.

Blockchain Security 101 Ogni anno molti normali cittadini perdono soldi a causa degli attacchi hacker alla blockchain. È possibile che questa tecnologia

sia semplicemente poco sicura per natura? Oppure ci sfugge qualcosa, un dettaglio che potrebbe salvare questo settore (e i milioni di persone che qui investono i loro sudati risparmi) dalla perdita di miliardi di dollari ogni anno?

Ascolta il nostro canale podcast CP<RADIO> per informazioni preziose sull'argomento

https://research.checkpoint.com/2022/blockchain-security-101/

C A P I T O L O 2

MAGGIO

12CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023

Il CERT ucraino ha diramato un avviso riguardante gli attacchi a opera di alcuni hacker russi, probabilmente appartenenti al gruppo APT Sandworm sponsorizzato dallo Stato, che sfruttano la

vulnerabilità critica Follina (CVE-2022-30190) nello strumento di diagnostica supporto tecnico di Microsoft Windows. La campagna sfrutta le e-mail malevole con allegati DOCX per colpire i media e gli organi di

informazione in Ucraina.

L'attacco HTTPS DDoS più esteso mai registrato è stato recentemente mitigato, con 26 milioni di richieste al secondo. L'attacco ha colpito un cliente di Cloudflare e ha avuto origine dai provider di servizi cloud (e non da provider di servizi Internet residenziali), il che indica l'uso di macchine virtuali hackerate.

Microsoft ha rilasciato una correzione per risolvere la vulnerabilità critica Follina (tracciata con codice CVE-2022-30190) sfruttata in-the-wild, informando gli utenti sull'urgenza di

esecuzione di aggiornamento e patch.

Stando alle notizie, i servizi segreti russi hanno intensificato gli attacchi contro governi e ONG che supportano l'Ucraina in 42 diversi Paesi, con l'obiettivo di ottenere informazioni sensibili dalle agenzie dei

paesi NATO.

Da WannaCry a Conti: come l'evoluzione dei ransomware ha plasmato il panorama delle minacce in un'ottica quinquennale

https://www.checkpoint.com/ransomware-hub/

C A P I T O L O 2

GIUGNO

13CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023

Norvegia e Lituania sono state entrambe vittime di attacchi DDoS su larga scala. Si suppone che gli attacchi siano stati condotti da gruppi hacker separatisti filorussi con l'obiettivo di

scoraggiare gli Stati nel sostegno all'Ucraina.

Twitter ha subìto una violazione di dati da parte di alcuni hacker che hanno sfruttato una vulnerabilità per creare un database di numeri di telefono e indirizzi e-mail appartenenti a 5,4 milioni di account, mettendo i dati in vendita su un forum di hacker per 30.000 dollari. Su un mercato di dati rubati è stato segnalato che il database contiene informazioni su diversi

account, compresi quelli di celebrità, aziende e utenti casuali.

I clienti di Check Point tra i primi a ricevere protezione contro la vulnerabilità Follina

I clienti di Check Point sono stati protetti contro Follina il giorno stesso della sua scoperta (30 maggio) grazie a a Harmony Endpoint e alle protezioni comportamentali di Threat Emulation

https://blog.checkpoint.com/2022/05/31/follina-zero-day-vulnerability-in-microsoft-office-check-point-customers-remain-protected/

Violazioni di dati: la tua azienda è protetta? Scarica la nostra guida per scoprire di più sulle violazioni di dati e sulle best practice da seguire per prevenirle.

https://pages.checkpoint.com/prevent-cyber-attack-data-breach.html

C A P I T O L O 2

L I T U A NI ANORV EGI A

LUGLIO

14CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023

La vulnerabilità critica nei server Atlassian Confluence, tracciata con codice CVE-2022-26138, è stata sfruttata in-the-wild. Gli attori non autenticati hanno avuto libero accesso da remoto a tutte le pagine di Confluence. In aggiunta, CISA ha diramato un avviso e ordinato alle agenzie federali statunitensi di

risolvere la vulnerabilità.

Cisco ha confermato di aver subito una violazione a opera del gruppo ransomware Yanluowang. L'accesso iniziale è stato ottenuto sottraendo le credenziali dell'account Google di un dipendente,

salvandole nel proprio browser e chiedendo all'utente di accettare una notifica push MFA. L'azienda ha dichiarato che, nonostante i segni di attività pre-ransomware, nessun ransomware ha

infettato i sistemi Cisco.

Killnet, gruppo hacker filorusso, ha pubblicamente preso di mira l'azienda Lockheed Martin, incitando altri gruppi hacker a unirsi agli attacchi. Killnet ha rivendicato la responsabilità di un recente attacco DDoS ai danni dell'azienda, dichiarando di aver ottenuto i dati personali dei

dipendenti. La società americana ha smentito le rivendicazioni.

South Staffordshire Water, la più grande società idrica del Regno Unito che fornisce 330 milioni di litri di acqua potabile ogni giorno a 1,6 milioni di consumatori, è stata vittima di un attacco ransomware a opera di Cl0p, una gang ransomware russofona. Il gruppo ha interrotto i sistemi IT dell'azienda e avuto accesso a oltre 5 TB di dati, tra cui passaporti, screenshot relativi al sistema SCADA di

trattamento delle acque, patenti di guida e altro.

La nuova era dell'hacktivismo: proliferano i gruppi mobilitati dallo Stato in Occidente (e non solo)

Nell'ultimo anno la situazione è cambiata. Come parte delle numerose ripercussioni dei conflitti in Europa dell'Est e in Medio Oriente, alcuni gruppi hacktivisti hanno intensificato le proprie attività nella forma e negli obiettivi, entrando in una nuova era

dove l'hacktivismo non riguarda più solo gruppi sociali con programmi variabili.

https://research.checkpoint.com/2022/the-new-era-of-hacktivism/

C A P I T O L O 2

AGOSTO

15CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023

Apple ha pubblicato una patch urgente per due falle zero-day attivamente sfruttate dagli hacker per colpire dispositivi iPhone, iPad o Mac. Tra queste, la vulnerabilità CVE-2022-32893 out-of-bounds write in WebKit consentiva agli hacker di eseguire il codice in modo arbitrario, mentre la vulnerabilità CVE-2022-32894 out-of-bounds write nel kernel del sistema operativo

consentiva di eseguire il codice con privilegi kernel.

Check Point Research ha individuato una campagna di cryptomining attiva che imita "Google Translate Desktop" e altri software gratuiti per infettare i PC. Creata da un'entità di lingua turca

chiamata Nitrokod, la campagna conta 111.000 download in 11 Paesi dal 2019.

A Mosca si è creato un ingorgo stradale a seguito di una sorta di attacco DDoS fisico in cui gli hacker hanno attaccato il servizio taxi russo Yandex richiedendo decine di veicoli in una destinazione specifica. Il collettivo

Anonymous ha rivendicato la responsabilità dell'attacco.

Da luglio, numerosi attacchi informatici collegati all'Iran hanno interrotto i sistemi governativi albanesi costringendo il governo a sospendere alcuni servizi online. In risposta,

il governo dell'Albania ha interrotto i rapporti diplomatici con l'Iran, ordinando al personale sul posto di

lasciare il paese entro 24 ore. L'ultimo attacco sferrato durante il weekend, presumibilmente a opera dello stesso hacker, ha colpito i sistemi informatici della polizia albanese costringendo gli ufficiali a disattivare il

sistema TIMS, utilizzato per il monitoraggio dei dati sull'immigrazione.

Uber è stata vittima di una violazione di dati presumibilmente a opera di un hacker diciottenne, il quale è riuscito ad accedere al sistema usando tattiche di ingegneria sociale su un dipendente. L'hacker sostiene di avere accesso ai sistemi IT interni di Uber e all'account bug bounty dell'azienda su HackerOne, che contiene vulnerabilità di sistemi e app di Uber divulgati privatamente da ricercatori nel campo della sicurezza. Stando

alle dichiarazioni di Uber, le informazioni private degli utenti non sono state compromesse.

Questa settimana è stato registrato un nuovo attacco DDos da record con un picco di 704,8 Mpps, superiore di circa il 7% al precedente attacco registrato dalla stessa organizzazione europea lo scorso luglio.

C A P I T O L O 2

SETTEMBRE

16CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023

Gruppi hacktivisti di tutto il mondo hanno preso di mira il regime iraniano sulla scia delle continue proteste che scuotono il Paese. I gruppi hanno fatto trapelare informazioni relative agli ufficiali di governo iraniani, offrendo supporto ai manifestanti per condividere informazioni ed evadere la

censura.

Le informazioni di 10 milioni di australiani sono state rubate a seguito di una violazione ai danni della compagnia di telecomunicazioni Optus. Tra i dati erano presenti informazioni personali come passaporti e dettagli sanitari. Dopo aver chiesto un riscatto iniziale di 1 milione di dollari, gli hacker hanno ritirato la loro richiesta a causa dell'elevata attenzione dedicata all'attacco e dell'operazione

delle forze dell'ordine avviata per identificare i colpevoli.

Check Point Research ha pubblicato un report focalizzato sul crescente trend dell'hacktivismo mobilitato dallo Stato. Se in passato i gruppi hacktivisti tendevano a restare esterni agli interessi

nazionali, oggi si uniscono agli sforzi degli Stati motivati dai conflitti geopolitici.

Il gruppo russofono Killnet ha rivendicato la responsabilità degli attacchi causa del blocco di diversi siti Web dei governi statali statunitensi, tra cui quelli di Colorado, Kentucky, Mississippi e altri.

L'azienda di shopping online Woolworths ha segnalato una violazione di dati che ha colpito oltre due milioni di utenti australiani della controllata MyDeal. L'azienda ha dichiarato che la violazione è stata dovuta alla compromissione delle credenziali di un utente, utilizzate per accedere senza autorizzazione al sistema di gestione delle relazioni con i clienti di MyDeal. Diverse aziende

australiane hanno subito violazioni nel mese di ottobre. La più grande compagnia assicurativa sanitaria del Paese, Medibank, ha imposto il blocco del trading sul mercato azionario australiano

dopo aver confermato una violazione di dati di 200 GB. Nella violazione subita dal rivenditore di vini Vinomofo, sono trapelati i dati di oltre 500.000 clienti. Un attacco alla società energetica EnergyAustralia ha determinato l'esposizione dei dati relativi ai pagamenti di centinaia di clienti

dell'azienda.

Svelata la natura del ransomware Azov: non è uno skidsware, ma un wiper polimorfico

CPR fornisce i dettagli della sua analisi riguardo al temibile ransomware Azov

https://research.checkpoint.com/2022/pulling-the-curtains-on-azov-ransomware-not-a-skidsware-but-polymorphic-wiper/

C A P I T O L O 2

OTTOBRE

17CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023

Killnet, gruppo hacktivista affiliato alla Russia, ha sferrato un attacco DDoS contro i siti Web del governo della Bulgaria rendendoli inaccessibili. Secondo quanto dichiarato da Killnet, la Bulgaria è stata presa di mira per aver "tradito la Russia" e aver fornito armi all'Ucraina.

Aurubis, il più grande produttore di rame europeo, è stato vittima di un attacco informatico che ha colpito i suoi sistemi IT e costretto l'azienda a sospendere molti dei sistemi in loco.

OpenSSL, ampiamente usato per le comunicazioni sicure, ha diramato un avviso circa una vulnerabilità critica riscontrata nelle versioni 3.0 e successive che verrà pubblicato martedì 1

novembre. Le vulnerabilità pubblicate sono state declassate alla gravità alta.

Secondo quanto individuato da Check Point Research, gli attacchi globali sono aumentati del 28% nel terzo trimestre del 2022: ricerca e istruzione sono i settori più colpiti in generale,

mentre la sanità è quello più colpito da attacchi ransomware.

L'esercito IT ucraino ha rivendicato di aver ottenuto l'accesso alla Banca Centrale russa. Sono stati pubblicati 27.000 file contenenti dati personali, legali e finanziari.

Check Point Research ha identificato un nuovo e unico pacchetto dannoso su PyPI, l'indice di pacchetti leader utilizzato dagli sviluppatori per il linguaggio di programmazione Python. Il pacchetto è stato concepito per celare il codice all'interno delle immagini e infettare i

computer tramite i progetti open source su Github.

Il ransomware Azov viene distribuito in tutto il mondo per crittografare i file delle vittime, ma da un'analisi condotta da Check Point Research risulta che si tratti in realtà di un data wiper

congegnato per distruggere i dati senza possibilità di recupero dei file.

Meta ha licenziato decine e decine di dipendenti dopo aver scoperto che ricevevano migliaia di dollari in mazzette da hacker esterni in cambio dell'accesso ai profili Facebook e

Instagram degli utenti. I dipendenti utilizzavano lo strumento aziendale di supporto interno, che garantisce l'accesso completo a qualsiasi account utente.

C A P I T O L O 2

NOVEMBRE

18CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023

Il sito Web del Parlamento europeo è stato attaccato in seguito alla votazione in cui la Russia è stata decretata sostenitrice del terrorismo. I gruppi hacktivisti filorussi

Anonymous Russia e Killnet hanno rivendicato la responsabilità del colpo, che ha causato un attacco DDoS (Distributed Denial of Service) ancora in corso.

Il gruppo ransomware Black Basta sta conducendo una campagna contro le organizzazioni di Stati Uniti, Canada, Regno Unito, Australia e Nuova Zelanda. Il gruppo utilizza il Trojan bancario QakBot (anche conosciuto come QBot o Pinkslipbot) per infettare gli ambienti e

installare una backdoor tramite cui rilasciare il ransomware.

I criminali informatici che hanno violato i sistemi dell'australiana Medibank hanno rilasciato un'altra serie di dati nel Dark Web affermando che i file contengono tutte le informazioni raccolte dal

precedente furto, che nell'ottobre 2022 aveva colpito 9,7 milioni di clienti. Medibank ha confermato la violazione di dati.

Secondo quanto accertato dai ricercatori, oltre 300.000 utenti di 71 Paesi sono stati colpiti da una campagna Android finalizzata all'estorsione delle credenziali di accesso a Facebook. L'attacco si basa sul Trojan Schoolyard Bully per dispositivi mobili, distribuito tramite applicazioni didattiche legittime

disponibili su Google Play Store.

Check Point Research ha analizzato l'attività di Cloud Atlas, gruppo di spionaggio informatico. Dalla sua scoperta nel 2014, il gruppo ha sferrato numerosi attacchi altamente mirati a infrastrutture

critiche di diverse aree geografiche e conflitti politici, sebbene nell'ultimo anno il suo ambito sia stato significativamente ridotto per puntare con decisione su Russia, Bielorussia e le aree di conflitto di

Ucraina e Moldavia.

Con la crescente diffusione dei modelli di intelligenza artificiale (AI), Check Point Research

ha analizzato rischi e vantaggi della tecnologia. CPR ha evidenziato come le tecnologie AI come ChatGPT e Codex possano essere sfruttate per creare flussi di infezione completi, dallo spear-phishing all'esecuzione

di reverse shell, e ha raccolto esempi delle possibilità offerte dall'AI per difendersi dagli attacchi.

C A P I T O L O 2

DICEMBRE

19CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023

C A P I T O L O 3

TREND DELLA SICUREZZA INFORMATICA NEL 2022

20CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023

Come nel campo di battaglia fisico, i russi non

erano preparati a una campagna informatica di

lunga durata. Le loro operazioni informatiche,

che nelle prime fasi includevano attacchi precisi

e attentamente pianificati, sono tutt'altro che

cessate. Nuovi strumenti e wiper, che avevano

caratterizzato le fasi iniziali, sono stati sostituiti

da una modalità operativa differente. Gli attuali

attacchi informatici sfruttano rapidamente

le opportunità che si aprono e utilizzano

strumenti di attacco già noti. Non mirano a

sostenere gli sforzi bellici tattici, ma piuttosto

a creare un effetto psicologico per danneggiare

l'infrastruttura civile ucraina.

Il reclutamento di professionisti IT, criminali

informatici e altri civili nelle fila informatiche

militari (da entrambe le fazioni del conflitto) ha

reso il confine tra governi, criminali informatici

e hacktivisti ancora meno netto. Il governo

ucraino ha radunato un esercito di hacktivisti

gestiti in maniera decisamente diversa da

quella conosciuta fino a ora. Se prima erano

caratterizzate da una scarsa cooperazione

ad hoc tra individui, le nuove organizzazioni

di hacktivisti conducono le attività di

reclutamento, addestramento, intelligence,

assegnazione dei bersagli e raccolta di

informazioni sui campi di battaglia secondo una

logica militare.

Il conflitto russo-ucraino ha avuto un

profondo impatto sul cyberspazio e causato

un significativo aumento di attacchi nel 2022.

L'hacktivismo ha subìto una trasformazione

e l'impiego di malware distruttivi da parte di

gruppi ed enti indipendenti sponsorizzati dallo

Stato si è diffuso a livello globale.

Il ruolo della guerra informatica è stato

ampiamente documentato in questo primo

conflitto ibrido totale, combattuto a livello

cinetico e cibernetico. I russi hanno fatto

ricorso a nuovi strumenti informatici e colpito

obiettivi tattici come le comunicazioni militari

e civili, compreso il blocco delle trasmissioni

dei mezzi d'informazione pubblici. Sebbene

la guerra non si vinca solo con gli attacchi

informatici, nelle operazioni tattiche hanno un

ruolo significativo e un incontestabile effetto

psicologico ed economico.

L'efficacia delle operazioni informatiche

non dipende solo dall'utilizzo di malware.

Come nella guerra cinetica, anche in quella

cibernetica è necessaria un'attenta e meticolosa

preparazione. Perlustrazione, raccolta e

valutazione delle informazioni, raccolta e

prioritarizzazione delle banche target, sviluppo

di payload dedicati e infiltrazione della rete

sono tutti requisiti necessari per una campagna

di successo.

CONFLIT TO RUSSO-UCR AINO

C A P I T O L O 3

21CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 21

Gli otto anni di continue ostilità informatiche

tra Russia e Ucraina sono serviti da terreno

di addestramento per entrambe le fazioni. Le

organizzazioni ucraine per la difesa informatica

vengono elogiate come "le attività informatiche

di difesa più efficaci della storia". Conoscere

strumenti e modus operandi del nemico

riveste particolare importanza nella guerra

informatica. L'impatto del primo deployment di

un determinato wiper può essere devastante,

ma quello del secondo è spesso molto più

ridotto. Ad esempio, l'effetto dell'attacco

Industroyer2 contro il settore energetico

ucraino a marzo 2022 è stato limitato a

confronto con il primo attacco Industroyer

del 2016.

Ancora non abbiamo una visione completa dei

cambiamenti generati da questo conflitto, ma

abbiamo già appreso alcune importanti lezioni.

Gli attacchi alle entità russe, prima considerati

off-limits da molti criminali informatici,

sono ora aumentati e la Russia è investita da

un'ondata di hacking senza precedenti, che

combina attività sponsorizzate dallo Stato, leve

informatiche politicizzate e azione criminale.

In parallelo, sono emersi numerosi gruppi

hacktivisti affiliati alla Russia che non prendono

di mira solo l'Ucraina, ma anche Europa,

Stati Uniti e Giappone. Per maggiori dettagli,

consulta la nostra sezione sull'hacktivismo.

L'estensivo uso di malware distruttivi ha già

causato un aumento di attività simili in altre

regioni e a opera di altri gruppi geopolitici.

Gli attacchi informatici possono essere

considerati atti di ostilità? Quale tipo di prova

serve e quanto estesi devono essere i danni

per considerare gli attacchi un casus belli?

È necessario rivedere i trattati in vigore? La

risposta a queste domande è riportata nel

capitolo "Wiper" del report.

S E R G E Y S H Y K E V I C H Threat Intelligence Group Manager,

Check Point Software Technologies

Il ruolo della guerra informatica è stato ampiamente documentato in questo primo conflitto ibrido totale, combattuto a livello cinetico e cibernetico. I russi hanno fatto ricorso a nuovi strumenti informatici e colpito obiettivi tattici come le comunicazioni militari e civili, compreso il blocco delle trasmissioni dei mezzi d'informazione pubblici. Sebbene la guerra non si vinca solo con gli attacchi informatici, nelle operazioni tattiche hanno un ruolo significativo e un incontestabile effetto psicologico ed economico.

C A P I T O L O 3

22CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 22

L'ANNO DEGLI AT TACCHI WIPER INCONTROLL ATI

Allora erano molti gli aspetti di unicità di

Stuxnet, ma il principale era avere come

effetto immediato la distruzione fisica

degli hardware meccanici. Nel 2012 è stato

distribuito il malware Shamoon per distruggere

le compagnie petrolifere del Medio Oriente,

che ha preso come bersagli gli impianti sauditi

e qatarini. Nel 2013 DarkSeoul, attribuito

alla Corea del Nord, è stato utilizzato per

distruggere oltre 30.000 computer del settore

bancario e televisivo della Corea del Sud.

L'attacco è stato sferrato durante un periodo di

forti tensioni tra i due Paesi a seguito dei test

nucleari svolti dalla Corea del Nord.

Nel 2015 abbiamo assistito all'attacco Black

Energy contro l'infrastruttura energetica

ucraina (KillDisk) e, nel 2016, a un altro attacco

dal malware battezzato Shamoon2 contro

bersagli sauditi. NotPetya è stato impiegato

contro bersagli ucraini nel 2017 nell'ambito di

un attacco alla supply chain, che ha causato

significativi danni collaterali in tutto il mondo.

Nel 2018, il malware Olympic Destroyer,

presumibilmente creato dalla Corea del Nord,

è stato utilizzato dal gruppo affiliato alla Russia

Sandworm per sabotare la cerimonia di apertura

dei Giochi olimpici invernali. Nel 2019, attacchi

iraniani con Dustman e ZeroCleare hanno colpito

Wiper e altri tipi di malware distruttivi vengono

attentamente progettati per causare danni

irreversibili: quando impiegati estensivamente

in una guerra informatica, l'effetto può essere

catastrofico. È forse questo il motivo per cui nel

corso degli anni l'uso dei wiper è stato limitato

e generalmente associato agli Stati. Fino a

poco fa, le Nazioni utilizzavano gli attacchi

informatici principalmente per spionaggio

e operazioni di intelligence, ricorrendo solo

raramente a strumenti informatici distruttivi.

Nel 2022 abbiamo assistito a un cambiamento

per diverse nuove famiglie di wiper impiegate

per distruggere migliaia di macchine.

I wiper sono malware distruttivi concepiti per

arrecare danni che assicurano tuttavia agli

hacker dei margini di guadagno limitati. I primi

utilizzi dei wiper, atti a mostrare le capacità

degli hacker, erano pertanto limitati e di

breve durata. In ogni caso, lo scopo principale

dei wiper è interrompere le operazioni o

distruggere i dati in modo irreversibile. Il

processo di distruzione dei dati presenta

diverse implicazioni tecnologiche.

Stuxnet, probabilmente il malware distruttivo

più noto, venne usato nel 2010 per sabotare le

centrifughe dell'impianto nucleare iraniano.

C A P I T O L O 3

23CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 23

ripristino, il che porta a pensare che fosse solo

uno stratagemma per fuorviare le vittime. I file

sono stati ulteriormente corrotti utilizzando un

payload di secondo livello ospitato su un

canale Discord.

Alla vigilia dell'invasione via terra avvenuta

a febbraio, sono stati distribuiti tre wiper

aggiuntivi: Hermetic, HermeticWizard ed

HermeticRansom. Gli strumenti hanno preso

il nome dal certificato emesso per "Hermetica

Digital Ltd". Più tardi, ma nello stesso mese,

sono stati segnalati altri wiper. Ad aprile la rete

elettrica ucraina è stata bersaglio di un altro

attacco che utilizzava una nuova versione di

Industroyer, il malware impiegato in un attacco

analogo nel 2016.

In totale, in meno di un anno l'Ucraina è stata

colpita da almeno nove diversi wiper. Molti

erano stati sviluppati separatamente da vari

servizi di intelligence russi e impiegavano

diversi meccanismi di wiping ed evasione.

bersagli del Medio Oriente correlati all'estrazione

petrolifera. In media, è stato registrato un attacco

per famiglia di wiper all'anno.

Durante il 2022 abbiamo assistito a una notevole

evoluzione delle tattiche di deployment dei

malware distruttivi. Lo spionaggio informatico

continua a esistere, ma l'attività è stata

integrata da operazioni informatiche distruttive

istigate da nazioni il cui obiettivo sembrerebbe

infliggere quanti più danni possibili. Con l'inizio

della guerra russo-ucraina a febbraio, abbiamo

assistito a un boom di attacchi informatici

distruttivi contro l'Ucraina a opera della

Russia. La Russia vanta una lunga storia di

assalti informatici contro il Paese confinante.

Nel gennaio 2022, governo e organizzazioni

finanziarie ucraine sono state attaccate da

WhisperGate, che ha sovrascritto il master boot

record (MBR) per impedire riavvio dei sistemi e

ripristino dei file. La richiesta di riscatto degli

autori dell'attacco non offriva un meccanismo di

E L I S M A D J A Security Research Group Manager,

Check Point Software Technologies

Wiper e altri tipi di malware distruttivi vengono attentamente progettati per causare danni irreversibili: quando impiegati estensivamente in una guerra informatica, l'effetto può essere catastrofico. È forse questo il motivo per cui nel corso degli anni l'uso dei wiper è stato limitato e generalmente associato agli Stati. Fino a poco fa, le Nazioni utilizzavano gli attacchi informatici principalmente per spionaggio e operazioni di intelligence, ricorrendo solo raramente a strumenti informatici distruttivi. Nel 2022 abbiamo assistito a un cambiamento per diverse nuove famiglie di wiper impiegate per distruggere migliaia di macchine.

C A P I T O L O 3

24CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 24

all'organizzazione anti-regime Mojahedin-e-

Khalq (MEK), sono state trasmesse nelle TV di

tutto il Paese al grido di "Morte all'Ayatollah

Khamenei!". Il gruppo MEK, che conduce gran

parte delle sue attività in esilio dall'Albania,

ha negato ogni responsabilità. A giugno il

wiper Chaplin, versione rivisitata di Meteor,

precedentemente utilizzato da PredatorySparrow,

ha colpito delle acciaierie iraniane. Altri attacchi

wiper appartenenti alle famiglie Dilemma e

Forsaken sono stati segnalati in Iran, attirando

tuttavia meno attenzione per via dei disordini

generalizzati nel Paese.

Il 18 luglio, a pochi giorni dalla conferenza del

gruppo MEK intitolata "Vertice mondiale per

l'Iran libero", il governo albanese ha dichiarato

di aver "temporaneamente bloccato l'accesso

ai servizi pubblici online e ad altri siti Web

governativi" a causa di attività informatiche

distruttive. Homeland Justice, gruppo

hacktivista responsabile dell'incidente (in

seguito attribuito all'Iran), ha utilizzato varie

immagini e articoli che suggeriscono si sia

trattato di una rappresaglia per gli attacchi alla

Repubblica islamica. Secondo quanto scoperto

dai ricercatori, ZeroClear, il wiper utilizzato

in questo caso, sarebbe correlato agli attacchi

distruttivi precedentemente diretti contro obiettivi

del settore energetico del Medio Oriente.

Il vertice del gruppo MEK è stato annullato,

ma ciò non ha evitato un secondo attacco

informatico contro i sistemi governativi

albanesi a settembre. Sebbene questo attacco

a uno Stato membro della NATO non abbia

precedenti, l'alleanza difensiva non lo ha

Uno degli attacchi, sferrato poche ore prima

dell'invasione dei territori ucraini, era atto a

interferire con Viasat, azienda di comunicazioni

satellitari fornitrice dell'Ucraina. L'attacco

sfruttava un wiper chiamato AcidRain

progettato per cancellare modem e router

e impedire l'accesso a Internet a decine di

migliaia di sistemi. I danni collaterali sono stati

ingenti e hanno colpito anche migliaia di turbine

eoliche in Germania.

Gli attacchi sono chiaramente risultato di

un'attenta pianificazione. Alcuni strumenti

erano progettati specificatamente per i bersagli

designati. Gli hacker avevano violato le misure

di sicurezza ottenendo l'accesso ai sistemi già

mesi prima, per poi usare GPO (Group Policy

Objects) per distribuire i wiper al momento

dell'attacco effettivo.

L'attività informatica distruttiva non si è

limitata a Russia e Ucraina. In Medio Oriente,

è dalla metà del 2021 che l'Iran subisce una

serie di attacchi distruttivi. A luglio 2021, un

gruppo di hacktivisti che si identifica come

Predatory Sparrow ha attaccato il sistema

ferroviario iraniano, causando ritardi e panico

generale. Una ricerca condotta da Check Point

Research (cp<r>) ha rivelato l'utilizzo di versioni

precedenti dei wiper negli attacchi a molteplici

obiettivi in Siria.

A gennaio 2022, la TV di stato iraniana IRIB

è stata attaccata da un malware distruttivo.

L'attacco, esaminato da cp<r>, ha danneggiato

i computer di decine di stazioni televisive e

radiofoniche di tutto l'Iran. Le immagini dei

leader dell'opposizione iraniana, appartenenti

C A P I T O L O 3

25CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 25

fazioni e causa danni indiscriminatamente da

novembre 2022, come riportato in una recente

indagine svolta da cp<r>.

Quest'anno sono stati sferrati probabilmente

più attacchi wiper di quelli registrati negli

ultimi 30 anni, con un'evoluzione sia nelle

modalità di distribuzione sia nel tipo di impatto.

Alcuni attori sono pronti ad avviare azioni che

potrebbero giustificare una guerra, modellando

la definizione di ostilità informatica duratura.

Distinguere le attività APT statali e i gruppi

hacktivisti è diventato sempre più complesso.

Molte Nazioni sono in certa misura coinvolte

nelle attività di enti non governativi, ai quali

possono fornire ispirazione, strumenti e

bersagli e perfino gestione e finanziamento

diretto degli attacchi, sotto le mentite spoglie

delle iniziative private. Per gli attori delle

minacce, tale ambiguità estende ulteriormente

le possibilità di operare senza rischio di

ritorsioni. Questo porterà all'ulteriore

diffusione delle operazioni informatiche

distruttive e a danni collaterali peggiori.

L'hacktivismo, ossia l'atto di compiere attacchi

informatici spinti da motivazioni politiche o

sociali, è tradizionalmente associato a una

gestione poco strutturata come Anonymous.

considerato un "attacco armato" come definito

dall'Art. 5 del trattato NATO. Ciononostante,

in passato l'organizzazione ha riaffermato che

il cyberspazio è parte delle attività di difesa

collettiva principali della NATO. L'Iran ha

compiuto investimenti sistematici per estendere

la sua base nell'infrastruttura IT dei Paesi

occidentali.

L'audace idea di distribuire un malware

distruttivo contro uno Stato NATO senza

ritorsioni potrebbe avere serie implicazioni.

L'attività informatica distruttiva è continuata per

tutto il 2022. Somnia, il nuovo wiper rivelatosi

ransomware, è stato utilizzato dal gruppo

hacktivista FRwL (From Russia with Love)

contro bersagli ucraini. Sebbene le tecniche di

attacco somigliassero a quelle attuate da alcuni

gruppi ransomware, non c'era una richiesta di

riscatto: l'intento era unicamente danneggiare

il più possibile la vittima. Di recente, attacchi

simili basati sul malware CryWiper sono

stati sferrati contro comuni e tribunali russi,

accompagnati da richieste di riscatto in Bitcoin

e indirizzi di wallet. Tuttavia, in realtà, il danno

era irreversibile.

Azov è un nuovo wiper diffuso e falsamente

collegato a vari ricercatori di sicurezza che

accusa diverse nazioni ed entità politiche per

l'attuale stato della guerra. Azov non è stato

attribuito ufficialmente a nessuna delle due

C A P I T O L O 3

26CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 26

L'HACKTIVISMO, IL NUOVO PROTAGONISTA DELLO

SCENARIO GEOPOLITICO

o il gruppo anti-regime iraniano "Predatory

Sparrow") ha segnato l'inizio di una nuova era,

in cui i gruppi si focalizzano su un programma

unico. All'inizio di quest'anno, dopo gli attacchi

della Russia all'infrastruttura IT ucraina

allo scoppio del conflitto, il governo ucraino

ha creato un'unità senza precedenti storici,

chiamata "Esercito cibernetico dell'Ucraina".

Attraverso un canale Telegram dedicato, gli

operatori dirigono oltre 350.000 volontari di

tutto il mondo in campagne contro gli obiettivi

russi. La fazione opposta ha risposto con

la creazione del gruppo affiliato alla Russia

Killnet, dotato di una struttura organizzativa

paramilitare e di una chiara gerarchia

piramidale. Killnet si compone di più squadre

specializzate che compiono attacchi e

rispondono ai comandanti generali. I gruppi

sono guidati da un hacker chiamato KillMilk.

Diversamente da Anonymous, che segue una

politica aperta e indipendente dalle competenze

Questi gruppi, in precedenza decentralizzati

e non strutturati, si componevano di individui

che collaboravano ad hoc per diversi obiettivi.

Nell'ultimo anno, a seguito degli sviluppi del

conflitto russo-ucraino, l'ecosistema degli

hacktivisti è maturato. I gruppi hacktivisti

hanno adottato un livello di organizzazione e

controllo più rigido e ora conducono operazioni

paramilitari che prevedono reclutamento

e formazione, condivisione di strumenti,

intelligence e assegnazione dei target. La

maggior parte dei nuovi gruppi hacktivisti

è asservita a un'ideologia politica chiara e

coerente, affiliata alle narrative governative.

Altri presentano una minore demarcazione

politica, ma hanno comunque migliorato

professionalità e organizzazione delle

operazioni.

Negli ultimi due anni, l'ascesa di gruppi politici

mediorientali mossi da ragioni politiche

(come "Hackers of Savior" associato all'Iran

C A P I T O L O 3

27CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 27

o da un programma specifico, gli hacktvisti

della nuova era scartano i candidati che

non soddisfano requisiti specifici. In questo

modo riducono il rischio di rivelare dettagli

interni sulle operazioni. XakNet, un gruppo

filorusso, ha dichiarato che non recluterà

hacker, pen tester o specialisti di intelligence

su fonti aperte senza comprovata esperienza e

competenze. Altri gruppi, come NoName057(16),

di stampo filorusso, offrono formazione

tramite piattaforme e-learning, tutorial, corsi o

mentoring.

Le operazioni organizzate investono nel

miglioramento di strumenti e capacità tecniche

dei loro membri. Nonostante gran parte

dell'attività sia focalizzata sul deturpamento

e sugli attacchi DDoS che utilizzano le botnet,

in alcuni casi i gruppi impiegano strumenti

distruttivi più sofisticati. TeamOneFist, un

gruppo affiliato all'Ucraina, è stato associato ad

attività distruttive contro i sistemi SCADA della

Russia.

Il gruppo bielorusso dei "cyber partigiani", nel

tentativo di prevenire l'avanzata delle truppe

russe in Ucraina, ha crittografato i database

interni delle reti ferroviarie bielorusse per

interromperne il funzionamento subito prima

dell'inizio dell'invasione.

È stato osservato l'utilizzo di un data wiper

chiamato Somnia da parte del gruppo filorusso

"From Russia with Love" (FRwL), che crittografa

i dati delle organizzazioni ucraine e ne sabota le

operazioni.

La battaglia non riguarda solo la quantità

di danni inflitti. Tutti i gruppi attivi sono

consapevoli dell'importanza della copertura

mediatica. Utilizzano i propri canali di

comunicazione per riportare i successi degli

attacchi e pubblicarli per massimizzarne

l'effetto. Il gruppo Telegram di Killnet, ad

esempio, conta oltre 89.000 iscritti e viene usato

per pubblicare notizie sugli attacchi, reclutare

leve e condividere strumenti. Le attività del

gruppo vengono inoltre ampiamente riportate

dai principali organi di informazione russi,

che promuovono i successi nel cyberspazio e

plaudono gli impatti degli attacchi riusciti.

I gruppi organizzati e coordinati utilizzano le

proprie risorse anche per cooperare con altre

entità. Il successo di Killnet ha fatto sì che altri

gruppi mostrassero il desiderio di collaborare

con loro o di coalizzarsi in via ufficiale. Il 24

ottobre Zarya, un distaccamento di Killnet,

ha presumibilmente condotto un'operazione

congiunta con due gruppi russofoni, Xaknet e

Beregini, per violare i sistemi e far trapelare

i dati del Servizio di sicurezza dell'Ucraina

(SBU). In aggiunta, Killnet ha recentemente

annunciato il lancio del suo collettivo, diventato

un'organizzazione ombrello per 14 gruppi

hacktivisti filorussi.

La trasformazione dell'azione hacktivista non è

limitata ad aree geografiche o conflitti nazionali

C A P I T O L O 3

28CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 28H A C K T I V I S M O

importante dei quali è Predatory Sparrow. Il

più recente attacco hacktivista su larga scala è

stato inflitto all'Albania da "HomelandJustice",

un gruppo affiliato al Ministro delle informazioni

e della sicurezza iraniano. Il gruppo ha agito

negli interessi dell'Iran sferrando un attacco al

governo albanese, colpevole di aver dato asilo

al gruppo dissidente iraniano "Mujahedin-e-

Khalq" (MEK). Tra ottobre 2021 e gennaio 2022,

il gruppo ha utilizzato uno strumento unico

di esfiltrazione delle e-mail per raccogliere i

messaggi di posta.

Poi, il 15 luglio, ha temporaneamente bloccato

diversi servizi digitali e siti Web del governo

albanese utilizzando la crittografia di file

basata su ransomware e malware di tipo

disk wiping. L'esito di queste operazioni ha

portato l'Albania alla cessazione dei rapporti

diplomatici con l'Iran il 6 settembre.

specifici. Ora nel mirino di questo nuovo tipo di

hacktivismo rientrano le grandi multinazionali

e i governi di Europa e Stati Uniti. A novembre

2022, ad esempio, il Parlamento europeo è

stato bersaglio di un attacco DDoS sferrato da

Killnet. Negli ultimi mesi, Stati Uniti, Germania,

Estonia e Lituania, Italia, Norvegia, Finlandia,

Polonia e Giappone hanno subìto gravi attacchi

a opera di gruppi mobilitati dallo Stato,

talvolta con impatti significativi. I nuovi gruppi

hacktivisti, mossi all'azione dalle narrative

politiche, stanno raggiungendo con successo

obiettivi strategici e di vasto respiro, con un

impatto sul pubblico senza precedenti.

Attacchi a bersagli di alto profilo associati al

regime iraniano sono stati osservati da parte

di diversi gruppi del Medio Oriente, il più

C A P I T O L O 3

29CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 29

Le operazioni di hacktivismo, fino a poco

tempo fa alimentate da uno spirito di anarchia

e scarsa cooperazione, sono state ispirate da

campagne informatiche statali per migliorare

il loro livello di organizzazione e gestione.

L'orchestrazione più attenta ha portato a

miglioramenti in termini di infrastruttura, forza

lavoro e capacità, permettendo a sua volta di

condurre operazioni più efficaci e distruttive

inizialmente in specifiche zone di conflitto, per

poi espandersi rapidamente in tutto il mondo.

Di contro, questo dovrebbe ispirare gruppi

hacktivisti con programmi più diversificati.

Il confine tra operazioni informatiche statali

e hacktivismo è labile, il che porta i Paesi ad

agire con un certo grado di anonimato senza

paura di ritorsioni. I gruppi hacktivisti non

affiliati agli Stati sono organizzati meglio e più

efficaci che mai: secondo le previsioni, questo

non farà che aumentare in futuro.

Il miglioramento di organizzazione e

specializzazione dei gruppi hacktivisti non

si limita ai programmi politici. Il gruppo

hacktivista Guacamaya prende di mira gli

enti dell'America Latina per il ruolo che

rivestono nella devastazione ambientale e nella

repressione delle popolazioni native. Da marzo

2022 il gruppo punta a infiltrarsi in aziende

petrolifere e minerarie, polizia e diversi organi

regolatori latino-americani. Il 19 settembre,

Guacamaya ha fatto trapelare 10 terabyte di

documenti appartenenti a diverse entità di

Messico, Guatemala, Cile, Perù, Colombia

ed El Salvador, puntando il dito contro Stati

Uniti e multinazionali dell'Occidente per lo

sfruttamento eccessivo delle risorse naturali

della regione.

A L E X A N D R A G O F M A N Threat Intelligence

Analysis Team Leader, Check Point Software

Technologies

I confini tra operazioni informatiche statali e hacktivismo è diventato sempre più labile, il che porta le Nazioni ad agire con un certo grado di anonimato senza paura di ritorsioni. Questo fornisce agli hacktivisti l'ulteriore opportunità di rivendicare pubblicamente la responsabilità degli attacchi informatici e di attrarre particolare attenzione sulla loro causa, che può essere pari all'effettivo danno causato. I gruppi hacktivisti non affiliati agli Stati sono organizzati meglio e più efficaci che mai: secondo le previsioni, questo non farà che aumentare in futuro.

30CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 30

Il livello base della protezione informatica

consiste nel rilevare strumenti e

comportamenti dannosi prima che possano

colpire. I fornitori di soluzioni di sicurezza

investono ingenti risorse nella ricerca e nella

mappatura di tipi e famiglie di malware, nonché

nella loro attribuzione a specifici attori delle

minacce e campagne associate. Identificano

inoltre le TTP (tecniche, tattiche, procedure)

necessarie per i corretti cicli e criteri di

sicurezza.

Per aggirare le sofisticate soluzioni di

cybersecurity, gli attori delle minacce

sviluppano e perfezionano le loro tecniche di

attacco facendo sempre meno affidamento

su malware e shift personalizzati anziché

utilizzare strumenti non basati su firma.

Impiegano funzionalità e strumenti del sistema

operativo, già installati nei sistemi presi di

mira, e sfruttano popolari strumenti di gestione

IT con meno probabilità di destare sospetti

se rilevati. Spesso vengono utilizzati anche

strumenti commerciali già disponibili di pen

testing e Red Team. Sebbene non si tratti di un

nuovo fenomeno, le tecniche una volta rare e

impiegate esclusivamente da attori sofisticati

sono ora diffuse e adottate da responsabili

delle minacce di ogni tipo.

Sono diversi i motivi per cui usare strumenti

legittimi è un'opzione allettante per i criminali

informatici. In primis perché, non essendo

intrinsecamente dannosi, spesso eludono

i sistemi di rilevamento e sono difficili da

distinguere per utenti normali e operatori IT. In

secundis perché molti di questi strumenti sono

open source o acquistabili, pertanto gli attori

delle minacce possono accedervi facilmente.

In aggiunta, quando gli hacker condividono

gli strumenti, è più complesso risalire alla

responsabilità di un particolare attacco.

LIVING OFF THE LAND (LOTL)

Gli attacchi LotL o LOLBin, in circolazione da

diversi anni, sfruttano le utility già presenti

nei sistemi presi di mira. Gli attaccanti li

utilizzano per scaricare ed eseguire file

dannosi, spostarsi lateralmente ed eseguire

comandi a livello generale. Su Windows le

utility includono spesso la shell dei comandi,

Windows Management Instrumentation e

piattaforme di script native di Windows come

PowerShell, mshta, wscript o cscript. Con

questa tecnica gli hacker possono passare

inosservati, in quanto software legittimi

e binari dei sistemi operativi nativi hanno

meno probabilità di destare sospetti e si

trovano solitamente nell'elenco dei software

consentiti.

STRUMENTI LEGIT TIMI CHE DIVENTANO ARMI

C A P I T O L O 3

31CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 31

in particolare da quando nel 2020 è trapelato il

relativo codice sorgente. Brute Ratel è un altro

framework offensivo legittimo che utilizza un

processo di licenza, attualmente venduto per

2.500 dollari. Per verificare che il software

non venga usato per scopi malevoli, i clienti

devono superare un processo di valutazione

prima di ricevere la licenza d'uso. Da quando le

soluzioni di cybersecurity sono maggiormente

incentrate sul rilevamento di Cobalt Strike,

alcuni hacker sono passati in sordina a Brute

Ratel per gli attacchi del 2022, perfino creando

false aziende statunitensi per superare il

sistema di verifica delle licenze. In un report

generale sullo strumento sono state identificate

tecniche associate ad APT29, che suggeriscono

la sua adozione da parte di attori di livello APT. I

ricercatori hanno inoltre identificato l'uso dello

strumento da parte della gang ransomware

BlackCat almeno da marzo 2022, il che implica

che gli attori delle minacce sono stati in

grado di eludere la procedura di verifica degli

sviluppatori.

Gli hacker spesso utilizzano queste utility per

attacchi senza file. Poiché nessun artefatto

dannoso viene scritto sui dischi rigidi, questi

attacchi lasciano meno tracce e complicano

ulteriormente la risposta agli incidenti e il

ripristino.

FRAMEWORK OFFENSIVI

Una politica di sicurezza rigida e solida prevede

test costanti atti a rilevare vulnerabilità e

debolezze della rete e dei sistemi distribuiti

al suo interno. Le aziende spesso fanno

affidamento sull'esperienza di professionisti

Red Team per simulare le fasi di un

attacco informatico. I Red Team impiegano

diversi strumenti per testare la resilienza

dell'ambiente. Molti di questi sono gratuiti

o disponibili per l'uso o l'acquisto nei circoli

criminali e spesso vengono individuati in-the-

wild, nelle mani degli attori delle minacce.

Cobalt Strike è lo strumento di penetration test

più diffuso che viene sfruttato dagli hacker,

L O T E M F I N K E L S T E E N Direttore,

Threat Intelligence & Research, Check Point Software

Technologies

Sono diversi i motivi per cui usare strumenti legittimi è un'opzione allettante per i criminali informatici. In primis perché, non essendo intrinsecamente dannosi, spesso eludono i sistemi di rilevamento e sono difficili da distinguere per utenti normali e operatori IT. In secundis perché molti di questi strumenti sono open source o acquistabili, pertanto gli attori delle minacce possono accedervi facilmente. In aggiunta, quando gli hacker condividono gli strumenti, è più complesso risalire alla responsabilità di un particolare attacco.

C A P I T O L O 3

32CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 32

Come avvenuto per Cobalt Strike, a settembre

2022 nei forum criminali underground è stata

pubblicata una versione alterata di Brute Ratel,

che porta a prevedere un'ampia adozione

dagli attori delle minacce. L'aumento dell'uso

illecito degli strumenti Red Team preoccupa,

in quanto Brute Ratel è stato sviluppato da

un ex dipendente Red Team esperto nel campo

delle tecnologie EDR (Endpoint Detection and

Response) nonché specificatamente concepito per

eludere i sistemi di rilevamento dei prodotti EDR.

Un altro framework offensivo emergente rilevato

nel 2022 è Manjusaka, la controparte cinese

di Cobalt Strike disponibile gratuitamente su

GitHub. Lo strumento è stato osservato in

campagne destinate a colpire la Prefettura

autonoma mongola e tibetana di Haixi, in Cina.

Tra gli altri strumenti si annovera il framework

Sliver, osservato in numerose campagne durante

il 2022 e che continua a guadagnare popolarità in

chiusura dell'anno.

All'inizio di quest'anno, Check Point Research

ha scoperto una campagna, attiva da due anni,

mirata alle organizzazioni finanziarie delle aree

francofone dell'Africa. Gli hacker hanno impiegato

diversi strumenti tra cui Metasploit e PoshC2, un

altro framework offensivo disponibile su GitHub.

DWservice è un altro interessante strumento

scoperto nella campagna: si tratta di un servizio

di accesso remoto legittimo che, seppur basato su

abbonamento, offre anche un piano gratuito. Tutti

questi strumenti sono facili da usare e vengono

sfruttati da attori con vari livelli di competenza

tecnica. Prevediamo un aumento del loro uso in

diverse fasi delle operazioni offensive.

SOFTWARE IT E DI SICUREZZA LEGITTIMI

I software di gestione e monitoraggio remoto

(RMM) vengono utilizzati quotidianamente a

scopi legittimi. Dato il loro potenziale distruttivo

se usati in campagne dannose, è fondamentale

monitorarne attentamente l'uso e implementare

intelligenti criteri di sicurezza.

Nel 2022, diverse gang ransomware hanno

impiegato con successo dei software IT legittimi

nelle loro campagne. Uno degli sviluppi è

stato l'aumento delle campagne di ingegneria

sociale in stile BazarCall, ora utilizzate da più

gruppi ransomware. Osservato per la prima

volta nel 2021 quando venne sferrato dalla

gang ransomware Ryuk/Conti, un attacco

BazarCall inizia con un'e-mail di phishing che

spinge la vittima a chiamare un call center

controllato dall'attore. L'operatore guida la

vittima all'installazione di un potente strumento

gestionale che verrà usato come malware.

Così facendo, gli attori delle minacce non solo

possono colpire specifiche entità in base al

settore, al guadagno o ad altri fattori target, ma

anche sfruttare tecniche di ingegneria sociale

per controllare il processo di distribuzione del

malware. In numerose campagne segnalate

nel 2022, tre diversi gruppi (Silent Ransom,

Quantum e Roy/Zeon) hanno impiegato questo

metodo per avviare sessioni di Zoho Assist, uno

strumento di supporto remoto legittimo tramite

cui hanno avuto accesso alle reti aziendali.

Il gruppo ransomware Conti e i loro affiliati

fanno spesso affidamento su soluzioni di

gestione remota legittime, come Splashtop,

AnyDesk, ScreenConnect o le versioni di

C A P I T O L O 3

33CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 33

prova di un mese di Atera, per riacquisire e

stabilire la persistenza laddove Cobalt Strike

era già stato rilevato. Ora la tattica viene

utilizzata ripetutamente dai loro successori.

In una pubblicazione di CP<R> dell'inizio di

quest'anno, i ricercatori hanno rilevato l'utilizzo

dello strumento di gestione remota Atera per

diffondere il malware bancario Zloader.

In un caso esaminato dal Team Incident

Response di Check Point (CPIRT) relativo

all'incidente ransomware Hello, gli hacker

hanno utilizzato Desktop Central, una

soluzione di gestione per endpoint unificata,

congiuntamente ad Atera e Wazuh. Il fatto che

Desktop Central risultasse installato prima

della violazione esaminata indica che era stato

utilizzato in modo legittimo dal reparto IT

(sebbene non confermino) o che era parte di una

precedente violazione.

Wazuh è un altro software legittimo spesso

usato dal personale IT. Non si tratta di uno

strumento di accesso remoto, ma di una

piattaforma di sicurezza concepita per il

rilevamento degli asset di rete e la gestione

delle vulnerabilità. Sfruttandola, gli hacker

possono celare le loro attività sotto le

mentite spoglie delle analisi di asset di rete e

vulnerabilità legittime.

Tra gli altri strumenti di sicurezza adottati dagli

attori delle minacce si annoverano Impacket

e BloodHound. BloodHound è un potente

strumento per la valutazione della sicurezza degli ambienti Active Directory (AD), impiegato nell'analisi di diritti e relazioni di AD, che può

essere impropriamente sfruttato dagli hacker. Impacket è progettato per l'amministrazione IT e l'esecuzione di penetration test per protocolli e servizi di rete. I due strumenti sono stati sfruttati da gruppi APT in campagne di alto profilo, come l'operazione distruttiva WhisperGate contro le organizzazioni ucraine, gli attacchi Sandworm contro gli impianti energetici ucraini combinati al malware Industroyer2 e la campagna sponsorizzata dalla Russia avente come bersaglio i fornitori della Difesa degli Stati Uniti.

Prima del wiper Somnia, il gruppo hacktivista FRwL (From Russia with Love) utilizzava un set di strumenti composto da AnyDesk, il reverse proxy Ngrok, lo strumento di perlustrazione della rete Netscan e il sistema open-source Rclone per l'esfiltrazione dei dati, precedentemente utilizzati in campagne con scopi economici.

Anziché sviluppare malware proprietari, gli attori delle minacce ora utilizzano strumenti legittimi sviluppati e distribuiti dalle aziende tecnologiche. Questo trend pone nuove sfide per il rilevamento, la protezione, l'attribuzione e la mappatura dell'universo informatico. Per far fronte al problema, i sistemi di difesa devono adottare approcci di sicurezza olistici. Ciò sottolinea l'urgenza operativa di sistemi XDR (eXtended Detection and Response) che offrano soluzioni di rilevamento delle anomalie basate su contesto, appositamente progettate per individuare l'uso improprio degli strumenti altrimenti legittimi.

C A P I T O L O 3

34CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 34

Nel tentativo di massimizzare le pressioni sulle vittime, gli autori di attacchi ransomware impiegano varie tattiche di estorsione. I dati nei sistemi delle vittime vengono crittografati e rilasciati solo a fronte del pagamento di un riscatto. Le aziende sanno che, se non pagheranno, i dati potrebbero essere divulgati pubblicamente, venduti o perfino utilizzati per estorsioni dirette contro dipendenti e clienti. Alcuni affiliati ransomware, sempre più dominanti nella scena criminale ransomware e ancora più abili nell'identificazione delle informazioni sensibili nelle reti delle vittime, saltano perfino il passaggio della crittografia affidandosi unicamente alla minaccia di pubblicazione dei dati per ottenere il riscatto. Questo può avere serie implicazioni per i meccanismi di difesa, l'attribuzione e l'analisi futura dell'ecosistema ransomware.

In principio, gli attacchi ransomware venivano condotti da singole entità che sviluppavano e distribuivano enormi quantità di payload automatizzati a vittime casuali, raccogliendo piccole somme da ogni attacco "andato a segno". Facendo un salto in avanti fino al 2022, questi attacchi si sono evoluti per diventare principalmente processi umani svolti da più entità nel corso di varie settimane. Gli hacker

selezionano attentamente le vittime in base al profilo desiderato, implementando una serie di tattiche di pressione per estorcere ingenti quantità di denaro. La minaccia di divulgazione dei dati sensibili ha dato prova di essere estremamente efficace. Questo perché le vittime temono le conseguenze di ingenti sanzioni, azioni legali da parte di dipendenti e clienti e conseguenti effetti negativi su prezzi delle azioni e reputazione.

La gestione degli attacchi ransomware si è evoluta verso un aumento degli attori delle minacce che operano secondo un modello Ransomware-as-a-Service (RaaS) tramite affiliati, i quali possono partecipare a più programmi RaaS simultaneamente e scegliere tra vari strumenti di crittografia. Gli affiliati diventano così "produttori", che avviano gli attacchi e ripagano l'operatore RaaS con parte dei profitti. Gli affiliati esternalizzano ulteriormente le operazioni acquistando credenziali rubate o accesso alle reti dagli access broker. La natura frammentata di queste operazioni rende complessa l'attribuzione degli attacchi e il tracciamento dei criminali. Tattiche, tecniche e procedure (TTP) utilizzate per ottenere l'accesso iniziale ai sistemi non sono più necessariamente connesse all'affiliato o al payload RaaS dopo la distribuzione.

ESTORSIONE TR AMITE R ANSOMWARE: IL PASSAGGIO DALL A CRIT TOGR AFIA

ALL'ESTORSIONE DEI DATI

C A P I T O L O 3

35CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 35

Gli attuali operatori Ransomware-as-a-Service

(RaaS) competono per catturare l'attenzione

degli affiliati, addebitando in genere una

commissione pari al 10-20% del riscatto

per i loro servizi. La velocità del modulo di

crittografia è uno dei "punti di forza", in quanto

riduce il tempo necessario per la crittografia

così come le probabilità di rilevamento. Nel

tentativo di abbreviare i tempi di crittografia,

gli operatori RaaS consentono agli affiliati di

scegliere tra varie modalità di crittografia od

offrono perfino una crittografia dei file parziale

("crittografia intermittente").

Alcuni gruppi ora saltano a piè pari la fase

di crittografia, affidandosi unicamente alla

minaccia di pubblicazione dei dati per ottenere il

riscatto. Nel settembre 2021, il gruppo Karakurt

Team ha iniziato a utilizzare l'estorsione senza

crittografia. Con attacchi rivolti principalmente

a vittime statunitensi ed europee, gli operatori

di Karakurt contattano le vittime mostrando

screenshot e copie dei dati rubati e minacciando

di vendere le informazioni o di divulgarle

in caso di mancata soddisfazione delle loro

richieste. Spesso contattano dipendenti, partner

aziendali e clienti della vittima per aumentare

la pressione. Questo nuovo comportamento,

che prevede il contatto diretto con i clienti delle

vittime, è stato osservato per la prima volta nel

2020 e prende il nome di tripla estorsione.

Molte informazioni diverse sono considerate

sensibili, dai dati proprietari e finanziari di

un'azienda a quelli personali relativi a salute

fisica o mentale, stato economico o qualsiasi

altra informazione di identificazione personale

(PII), il che aggrava ulteriormente la minaccia di

esposizione dei dati.

La negoziazione con le vittime viene spesso

condotta tramite mezzi relativamente sicuri,

utilizzando codici di accesso proprietari. La

strategia è atta a prevenire la pubblicazione

incontrollata, che ridurrebbe la potenziale

leva esercitabile. Almeno in teoria, le vittime

che pagano il riscatto possono uscire da un

attacco relativamente illese: se i loro dettagli

non vengono fatti trapelare sul sito denigratorio

di Karakurt, clienti e autorità non possono

scoprire che sono state attaccate.

Un esempio dell'efficacia delle minacce di

esposizione dei dati personali è offerto dal

recente attacco contro Medibank, compagnia di

assicurazioni sanitarie australiana, avvenuto

a ottobre 2022. Quando l'azienda si è rifiutata

di pagare il riscatto di 10 milioni di dollari,

gli hacker (presumibilmente collegati al

gruppo REvil) hanno fatto trapelare enormi

quantità di informazioni personali relative

a interruzioni di gravidanza, abuso di alcol

e sostanze stupefacenti, problemi di salute

mentale e altri dati medici riservati e altamente

sensibili relativi a milioni di clienti australiani e

internazionali.

C A P I T O L O 3

36CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 36

dati, consentendo a dipendenti, clienti e altre potenziali vittime di scandagliare i repository di dati rubati. Inoltre, i dati rubati di valore spesso vengono monetizzati tramite la vendita sui mercati del Dark Web.

Altri attori delle minacce hanno invece abbandonato la crittografia per passare alla distruzione dei dati. Il gruppo ransomware Onyx, attivo da aprile 2022, distrugge i file di dimensioni superiori ai 2 MB anziché crittografarli. Altri hanno seguito l'esempio. Un nuovo campione dello strumento di esfiltrazione ExMatter ora include una funzionalità di wiping dedicata. Sebbene inizialmente individuato come parte del modello RaaS di BlackMatter nel tardo 2021, lo sviluppo di ExMatter è attribuito a un affiliato e non all'operatore RaaS. Questo dato segna la possibile indipendenza degli affiliati ransomware dai loro partner RaaS.

Scegliere di basare l'estorsione unicamente sulla pubblicazione dei dati è comprensibilmente vantaggioso per gli hacker. Consente infatti un deployment rapido, senza lunghi e complessi processi di crittografia, riducendo di conseguenza la possibilità di essere scoperti. Anche la gestione delle vittime diventa più semplice: non serve fornire chiavi di decrittografia individuali ai diversi bersagli, né attivare un meccanismo di "supporto clienti" logisticamente complesso. Soprattutto, però, rende gli affiliati indipendenti dai grandi operatori RaaS, i quali chiedono in cambio parte del riscatto.

Anche il gruppo Lapsus$ ha ricevuto grande attenzione pubblica a seguito di una serie di violazioni di dati perpetrate contro aziende tecnologiche, tra cui Microsoft, Nvidia e Samsung. Dal primo attacco registrato a dicembre 2021 contro il Ministero della salute brasiliano, in cui sono stati sottratti dati medici relativi alle vaccinazioni contro il COVID-19 con conseguente minaccia di pubblicazione, il gruppo si è concentrato sull'esfiltrazione dei dati e non sulla crittografia. Guidato da giovani criminali di nazionalità inglese e brasiliana, Lapusus$ utilizza vari metodi per ottenere l'accesso iniziale alle vittime, tra cui corruzione dei dipendenti, acquisto di credenziali e ingegneria sociale. L'obiettivo del gruppo è localizzare ed esfiltrare il codice sorgente proprietario dei prodotti delle vittime. Si stima che la minaccia di pubblicazione abbia generato profitti per 14 milioni di dollari dopo solo pochi mesi di attività.

Alcuni operatori RaaS consigliano perfino agli affiliati di evitare la crittografia in alcune aree critiche, come i dati sanitari dei pazienti. Il fatto che acconsentano all'attacco degli ospedali e all'esfiltrazione dei dati ma non alla loro crittografia suggerisce l'esistenza di una sorta di codice morale contorto tra gli hacker. Hive RaaS, focalizzato sul settore sanitario, a volte si impegna a non disabilitare i sistemi. Pubblicare i dati rubati ha dato prova di efficacia e gli attori delle minacce hanno sviluppato complessi meccanismi di estorsione. I gruppi ransomware BlackCat e Lockbit hanno aggiunto dei meccanismi per effettuare ricerche sui

C A P I T O L O 3

37CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 37

R A N S O M W A R E

complesso e i meccanismi di protezione esistenti, basati sul rilevamento delle attività di crittografia, potrebbero rivelarsi meno efficaci. Al loro posto, i fornitori di soluzioni di sicurezza informatica dovranno concentrarsi maggiormente sul rilevamento di sistemi di wiping ed esfiltrazione dei dati.

Mentre questo modello di estorsione dei dati si diffonde, tra le possibili implicazioni vi è un aumento della frammentazione dell'ecosistema ransomware. L'attribuzione delle operazioni ransomware e il tracciamento degli attori delle minacce può diventare ancora più

I TAY C O H E N Technology Leader, Check Point Software

Technologies

Mentre questo modello di estorsione dei dati si diffonde, tra le possibili implicazioni vi è un aumento della frammentazione dell'ecosistema ransomware. L'attribuzione delle operazioni ransomware e il tracciamento degli attori delle minacce può diventare ancora più complesso e i meccanismi di protezione esistenti, basati sul rilevamento delle attività di crittografia, potrebbero rivelarsi meno efficaci. Al loro posto, i fornitori di soluzioni di sicurezza informatica dovranno concentrarsi maggiormente sul rilevamento di sistemi di wiping ed esfiltrazione dei dati.

C A P I T O L O 3

38CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 38

Gli APK delle Mod, ossia delle applicazioni per dispositivi Android, sono copie revocate di applicazioni note progettate per fornire agli utenti l'accesso a funzionalità estese non disponibili nella versione originale. Negli ultimi anni sono uscite le versioni modificate di diverse applicazioni, da messaggistica istantanea a social media, passando per servizi di streaming, VPN e molto altro. Le app vengono solitamente distribuite tramite canali non ufficiali agli utenti in cerca di versioni gratuite delle suddette app o di funzionalità non presenti nelle versioni originali. In alcuni casi gli attacchi sono rivolti a utenti mirati che ricevono link diretti per gli APK modificati. In altri casi, gli utenti cercano gli APK volontariamente per via dell'accesso limitato alle applicazioni ufficiali. Ad esempio, FMWhatsApp consente agli utenti di modificare l'aspetto dell'interfaccia di WhatsApp e modificare le funzionalità "ultimo accesso" e "spunta blu". Queste Mod non vengono sottoposte a verifiche rigorose come le versioni ufficiali, divenendo un naturale bersaglio da sfruttare per gli attori delle minacce. Spesso l'infezione avviene tramite degli SDK pubblicitari utilizzati dagli sviluppatori di Mod. È il caso dell'infezione di HMWhatsApp con il Trojan Triada ad agosto 2021 e APKPure più tardi nello stesso anno.

Nel nostro report semestrale 2022 abbiamo analizzato alcuni dei principali eventi nel panorama delle minacce per i dispositivi mobili, inclusa l'enorme proliferazione di applicazioni infiltrate negli store di Google e Apple. Spesso camuffate da innocenti app quali lettori QR, Bluetooth esterno, torce o giochi, sono progettate per attirare la minore attenzione possibile. Nella nostra ultima analisi ci siamo concentrati sui tentativi di celare dei malware per dispositivi mobili in versioni "non ufficiali" di applicazioni note. Perlopiù si tratta di versioni dannose modificate (note come Mod) distribuite in genere tramite app store di terze parti e scaricate dagli utenti che preferiscono una versione non ufficiale. Sebbene non si tratti di una minaccia completamente nuova, nel 2022 abbiamo assistito a numerosi attacchi che utilizzavano app note, affidabili e ampiamente diffuse.

PANOR AMA DEI MALWARE PER DISPOSITIVI MOBILI: RISCHI CORREL ATI AGLI

STRUMENTI CONSIDER ATI AFFIDABILI

C A P I T O L O 3

39CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 39

M A L W A R E Nella maggior parte dei casi, le Mod non vengono distribuite tramite gli app store ufficiali. Tuttavia, a volte utenti non sospetti possono ottenerle tramite canali ufficiali. A ottobre la società madre di WhatsApp, Meta, ha intentato una causa contro tre aziende con sede in China e Taiwan per lo sviluppo di versioni non ufficiali dell'app e la loro vendita su siti Web proprietari e Google Play Store. Una volta installate, le app modificate venivano usate per l'hijacking degli account e per rubare informazioni sensibili a oltre un milione di utenti Android.

Le Mod sono state utilizzate anche da attori

statali. Ad agosto i ricercatori hanno portato

alla luce lo spyware Dracarys per Android, distribuito in una versione modificata dell'app di messaggistica Signal. Nonostante le segnalazioni degli attacchi contro i suoi utenti, Signal è considerata una piattaforma protetta: eppure, oltre alle regolari funzioni, la versione modificata ha fornito agli hacker estese capacità di spionaggio. L'operazione è stata attribuita a Bitter APT, un gruppo noto attivo in Asia meridionale, che secondo le indiscrezioni produrrebbe Mod simili anche

Giunto al corrente di queste minacce, WhatsApp ha diramato un avviso per gli utenti a luglio 2022 sconsigliando l'uso di versioni modificate dell'app e illustrando gli sforzi congiunti con Google per togliere dalla circolazione le precedenti versioni dannose. Nonostante l'avviso, un'altra build modificata di WhatsApp è stata segnalata a ottobre 2022. All'interno della Mod YoWhatsApp è stato trovato, ancora una volta, il malware Triada. Implementato in una versione completamente funzionante della popolare app di messaggistica, il malware concede estese autorizzazioni, come l'accesso ai messaggi SMS, simili a quelle ricevute dall'app ufficiale di WhatsApp. Così facendo, gli attori delle minacce possono eludere il meccanismo di autenticazione a più fattori e appropriarsi di una vasta gamma di applicazioni e account, dalle e-mail all'home banking, fino agli account aziendali, oltre allo stesso account WhatsApp. La più recente campagna per distribuire il malware Triada tramite app modificate, segnalata da Check Point Research, ha infettato le copie dell'app di messaggistica Telegram per sottrarre informazioni personali a numerosi utenti.

40CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 40

attacchi di attori spinti da motivi economici

o politici. È stato questo il caso nel 2018

e nel 2019, quando il governo iraniano ha

bloccato le app di messaggistica istantanea

(IM) sicure causando un boom delle versioni

clonate non ufficiali di Telegram, Instagram

e altre applicazioni IM. Molte di queste si

sono successivamente rivelate parte di un

programma del governo volto a spiare e

controllare l'opposizione e gruppi minoritari.

I dispositivi mobili sono bersaglio delle entità

ostili per diversi motivi. Gli hacker prendono

spesso di mira le applicazioni più note, popolari

e utilizzate che gli utenti considerano sicure.

Gli exploit possono presentarsi in forma di app

modificate o fasulle o sfruttare le vulnerabilità

delle versioni originali. Questo dovrebbe servire

a ricordarci l'importanza di rimanere all'erta,

soprattutto quando utilizziamo le applicazioni

più comuni e diffuse.

per Facebook, Telegram, YouTube e WhatsApp. L'attacco è stato distribuito tramite siti di phishing che imitavano il sito legittimo di Signal e, probabilmente, tramite e-mail di phishing e social media prendendo di mira gli utenti. Meta ha accusato anche Transparent Tribe (APT-36), un attore di minacce con sponsorizzazione e affiliazione pakistana, per la creazione e l'uso di versioni non ufficiali di WhatsApp, WeChat e YouTube, identificando oltre 10.000 utenti potenzialmente colpiti.

Le versioni modificate dannose di due applicazioni

VPN per dispositivi mobili, SoftVPN e OpenVPN,

sono state impiegate per spiare gli utenti dal

gruppo mercenario Bahamut APT, che offre

servizi di hacking a una vasta gamma di clienti.

I popoli dei regimi totalitari spesso hanno

accesso limitato alle applicazioni degli app

store ufficiali e sono costretti a cercare delle

alternative. Ciò li rende più suscettibili agli

S H A N I S H P R I N G E R Data Research Analysis

Team Leader, Check Point Software

Technologies

I dispositivi mobili sono bersaglio delle entità ostili per diversi motivi. Gli hacker prendono spesso di mira le applicazioni più note, popolari e utilizzate che gli utenti considerano sicure. Gli exploit possono presentarsi in forma di app modificate o fasulle o

sfruttare le vulnerabilità delle versioni originali. Questo dovrebbe servire a ricordarci l'importanza di rimanere all'erta, soprattutto quando utilizziamo le applicazioni più comuni e diffuse.

C A P I T O L O 3

41CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 41

27.4%

22.9%

Cloud On-prem

Oltre ai tentativi di sfruttamento delle

vulnerabilità, gli ambienti cloud sono diventati

origine e target di incidenti di sicurezza e

violazioni che riguardano la gestione impropria

degli accessi, a volte combinata con l'utilizzo

di credenziali compromesse. A marzo 2022,

la gang ransomware Lapsus$ ha annunciato

nel suo gruppo Telegram di essere riuscita

ad accedere a Okta, una piattaforma di

gestione delle identità. Lapsus$ è nota per la

Negli ultimi anni Check Point Research

(cp<r>) ha seguito la crescente adozione

dell'infrastruttura cloud negli ambienti

aziendali, nonché l'evoluzione del panorama

delle minacce cloud. Oggi circa il 98% delle

aziende utilizza servizi basati su cloud e circa il

76% di queste opera in un ambiente multi-cloud

che integra servizi di due o più provider cloud.

Confrontando gli ultimi due anni, abbiamo

assistito a un significativo aumento degli

attacchi contro reti basate su cloud per azienda,

schizzato a +48% nel 2022 rispetto al 2021.

Nonostante le reti basate su cloud vengano

complessivamente attaccate il 17% in meno

rispetto alle reti on-premise, un esame più

approfondito dei tipi di attacchi mostra che le

vulnerabilità scoperte più di recente (2020-

2022) vengono sfruttate di più negli ambienti

basati su cloud che in quelli on-premise. Questo

potrebbe indicare la nuova tendenza di alcuni

attori delle minacce verso gli IP dei provider

cloud, che potrebbe permettere loro di ottenere

più facilmente accesso a informazioni sensibili

o servizi critici.

Figura 1: percentuale di attacchi che sfruttano le recenti vulnerabilità (scoperte tra 2020 e 2022)

CLOUD: MINACCE DI TERZE ARTI

C A P I T O L O 3

42CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 42

Dopo il fatto, Okta ha rilasciato una

dichiarazione ufficiale rivelando che circa

il 2,5% dei suoi clienti è stato colpito dalla

violazione di Lapsus$: circa 375 aziende,

secondo le stime indipendenti. Okta viene

utilizzato da migliaia di aziende per gestire e

proteggere i processi di autenticazione degli

utenti, ma anche dagli sviluppatori per creare

i controlli delle identità. Questo, nella prassi,

significa che centinaia di migliaia di utenti in

tutto il mondo rischiano di essere compromessi

dall'azienda responsabile della loro sicurezza.

Sul suo gruppo Telegram, Lapsus$ ha dichiarato

che Okta conservava le chiavi AWS su Slack e

che i tecnici dell'assistenza di terze parti di Okta

avevano accesso a tutti gli 8.600 canali Slack

dell'azienda. È possibile che Lapsus$ sia riuscito

ad accedere a Okta tramite Slack utilizzando

cookie rubati e/o tecniche di ingegneria sociale.

cp<r> ha suggerito che l'accesso di Lapsus$ ai

client di Okta spiegherebbe il modus operandi

della gang di criminali informatici e il loro

impressionante record di successi, tutto dovuto

alle eccessive autorizzazioni concesse a una terza

parte interna all'ambiente cloud aziendale. Nel

2021 cp<r> ha ampiamente discusso gli attacchi

basati sullo sfruttamento dei ruoli IAM (Identity

and Access Management). Sebbene costituiscano

ancora un problema, le aziende dovrebbero

prestare attenzione anche ad altri pericoli.

Il 16 settembre 2022 Uber ha denunciato

un incidente di sicurezza successivamente

attribuito a un hacker associato al gruppo

Lapsus$. Secondo i chiarimenti dell'azienda,

l'hacker avrebbe impiegato le credenziali

rubate di un fornitore Uber in un attacco basato

sull'autenticazione a più fattori, bombardando

la vittima di richieste di accesso 2FA fino a

fargliene accettare una. Le credenziali sono

state quindi usate per lo spostamento laterale

e l'escalation dei privilegi, tramite cui l'intruso

ha ottenuto l'accesso come amministratore

all'account cloud AWS e alle relative risorse

di Uber.

pubblicazione di informazioni sensibili, spesso

codici sorgente, sottratte a società tecnologiche

di alto profilo come Microsoft, NVIDIA e

Samsung. Questa volta, però, il gruppo ha

dichiarato che l'obiettivo non era Okta, ma i suoi

clienti.

Figura 2: annuncio relativo a OKTA nel canale Telegram di Lapsus$

PER FUGARE OGNI DUBBIO, NON ABBIAMO AVUTO ACCESSO NÉ SOTTRATTO ALCUN DATABASE DA OKTA. Ci siamo concentrati UNICAMENTE sui clienti di Okta.

C A P I T O L O 3

43CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 43

M I N A C C I A

Gli eventi del 2022 hanno mostrato come la violazione delle regole, da quelle più semplici come non archiviare le chiavi di accesso cloud pubblicamente o non ignorare i tentativi di elusione dell'autenticazione a 2 fattori, fino a quelle più complesse ma essenziali come la prevenzione delle configurazioni cloud errate e l'utilizzo corretto di IAM, possa mettere a rischio gli ambienti cloud.

Verso la fine dell'anno, Uber è stata vittima di un'altra perdita di dati di alto profilo che ha causato l'esposizione di dati sensibili su azienda e dipendenti. Questa volta gli hacker hanno violato i sistemi aziendali compromettendo un server cloud AWS usato da Tequivity, fornitore di servizi di localizzazione e gestione degli asset di Uber. Non è chiaro se l'accesso non autorizzato fosse dovuto a una configurazione errata o all'uso di credenziali rubate, ma è evidente l'urgenza di adattare i nostri metodi di valutazione del rischio di terze parti al mondo dell'infrastruttura cloud.

C A P I T O L O 3

O M E R D E M B I N S K Y Data Research Group Manager,

Check Point Software Technologies

Confrontando gli ultimi due anni, abbiamo assistito a un significativo aumento degli attacchi contro reti basate su cloud per azienda, schizzato a +48% nel 2022 rispetto al 2021. Nonostante le reti basate su cloud vengano complessivamente attaccate il 17% in meno rispetto alle reti on-premise, un esame più approfondito dei tipi di attacchi mostra che le vulnerabilità scoperte più di recente (2020-2022) vengono sfruttate di più negli ambienti basati su cloud che in quelli on-premise. Questo potrebbe indicare la nuova tendenza di alcuni attori delle minacce verso gli IP dei provider cloud, che potrebbe permettere loro di ottenere più facilmente l'accesso a informazioni sensibili o servizi critici.

44CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023

C A P I T O L O 4

ANALISI GLOBALE

45CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 45CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2022

MONDO

AMERICHE

CATEGORIE DI ATTACCHI INFORMATICI PER AREA GEOGRAFICA

Figura 3: percentuale di organizzazioni colpite per tipo di malware in tutto il mondo nel 2022.

Figura 4: percentuale di organizzazioni colpite per tipo di malware nelle Americhe nel 2022.

MULTIPURPOSE MALWARE*

INFOSTEALERS

CRYPTOMINERS

MOBILE

RANSOMWARE

32%

24%

16%

9%

7%

MULTIPURPOSE MALWARE

INFOSTEALERS

CRYPTOMINERS

MOBILE

RANSOMWARE

23%

18%

12%

7%

5%

45CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023

*Trojan bancari e botnet, in precedenza considerati due tipi di malware distinti, sono stati combinati in una categoria unica. Poiché a molti Trojan bancari sono state aggiunte ulteriori funzionalità che tendono a sovrapporre queste due categorie, abbiamo deciso di introdurre la categoria unificata dei "malware multifunzione".

C A P I T O L O 4

46CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2022

CATEGORIE DI ATTACCHI INFORMATICI PER AREA GEOGRAFICA

EMEA

APAC

Figura 5: percentuale di organizzazioni colpite per tipo di malware nell'area EMEA nel 2022.

Figura 6: percentuale di organizzazioni colpite per tipo di malware nell'area APAC nel 2022.

MULTIPURPOSE MALWARE

INFOSTEALERS

CRYPTOMINERS

MOBILE

RANSOMWARE

33%

25%

15%

8%

8%

MULTIPURPOSE MALWARE

INFOSTEALERS

CRYPTOMINERS

MOBILE

RANSOMWARE

44%

30%

25%

14%

9%

46CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023

C A P I T O L O 4

47CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 47

MAPPA GLOBALE DELLE MINACCE

Figura 7: mappa globale delle minacce

La mappa mostra il livello di rischio associato alle minacce informatiche in tutto il mondo, evidenziando le aree più esposte.*

* Colore più scuro = rischio maggiore * Grigio = dati insufficienti

C A P I T O L O 4

48CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 48

Education / Research

Government / Military

Healthcare

Communications

ISP / MSP

Finance / Banking

Utilities

Insurance / Legal

Manufacturing

Leisure / Hospitality

SI / VAR / Distributor

Retail / Wholesale

Transportation

Software Vendor

Consultant

Hardware Vendor

2314 (+43%) 1661

1463 1380 1372

1131 1101

957 950 943

904 871

750 747

689 448

(+46%)

(+74%)

(+27%)

(+28%)

(+52%)

(+48%)

(+47%)

(+36%)

(+60%)

(+18%)

(+66%)

(+41%)

(+37%)

(+19%)

(+25%)

Figura 8: media settimanale globale degli attacchi per organizzazione per settore nel 2022 [% rispetto al 2021]

I dati raccolti nel 2022 mostrano il continuo aumento degli attacchi contro tutti i settori. I più colpiti risultano istituti didattici e di ricerca, con una media di 2.314 attacchi a settimana per organizzazione – un aumento di oltre il 40% rispetto al 2021. Gli attacchi al settore sanitario hanno registrato l'impennata maggiore con una crescita del 74% rispetto all'ultimo anno, posizionando il settore al terzo posto della classifica di quest'indice. Da ospedali e cliniche a centri di ricerca, gli attori degli attacchi bersagliano il settore sanitario in cerca di guadagni sin dallo scoppio della pandemia di COVID-19. Nell'ultimo anno, l'89% delle organizzazioni sanitarie

ha segnalato attacchi informatici, con una perdita totale di 4,4 milioni di dollari. Tra

le vittime degli attacchi anche CommonSpirit Health, la seconda più grande catena ospedaliera no-profit statunitense. CommonSpirit, che gestisce 140 ospedali, ha segnalato il furto dei dati di oltre 600.000 pazienti, con risultante danno medico per gli stessi. A novembre, alcuni ospedali di New York sono stati colpiti da un ransomware che ha messo fuori uso i sistemi medici per le settimane seguenti all'attacco. Un attacco alla cooperazione sanitaria Tenet, che dalla sede centrale di Dallas controlla centinaia di strutture mediche, ha causato disagi ai reparti di terapia intensiva. Tra i gruppi ransomware segnalati per aver bersagliato le organizzazioni sanitarie vi sono Lockbit, BlackCat, Cuba, Zeppelin e altri.

C A P I T O L O 4

49CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 49

Figura 9: protocolli di distribuzione, confronto 2018-2022 fra e-mail e vettori di attacco Web.

EMAIL WEB

2019

64%

36%

2018

33%

67%

2020

83%

17%

2021

84%

16%

2022

86%

14%

C A P I T O L O 4

50CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 50

TIPOLOGIE PRINCIPALI DI FILE MALE VOLI CONFRONTO FR A MINACCE WEB ED E-MAIL

Figura 10: Web, principali tipi di file malevoli del 2022.

Figura 11: e-mail, principali tipi di file malevoli del 2022.

ex e

pd f

dl l

xls ln k

ps 1 jar

ht m

l xls

b do

c

57%

10% 8%

5% 4% 3% 2% 1% 1% 1%

ex e

pd f

xls xls x

xls m

do cx rtf do

c ht

m l

vb s

26%

22%

17% 15%

9%

4% 3% 3%

0.8% 0.6%

C A P I T O L O 4

51CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 51

zip ra r

im g gz 7z r0

0 ca

b iso z

tg z

51%

15%

9% 6%

4% 2% 2% 2% 1% 1%

Figura 12: principali file di archivio malevoli distribuiti sia via Web sia per e-mail nel 2022.

La proporzione degli attacchi sferrati tramite e-mail è aumentata fino ad arrivare

alla percentuale record dell'89% di tutti gli attacchi in-the-wild basati su file.

I dati mostrano un aumento nell'uso di vari tipi di formati file di archiviazione

nel tentativo degli attori delle minacce di nascondere payload dannosi. Celata

negli archivi protetti da password, la funzionalità del malware resta nascosta

fino all'estrazione dei file, rendendo la loro identificazione come malevoli

particolarmente complessa per i prodotti di sicurezza. Se i file in formato ZIP

sono quelli più comunemente utilizzati per lo scopo, tra principali tipi di archivi

malevoli vi sono anche i formati .img e .iso, poiché la loro funzione di estrazione è

integrata in Windows o in altri strumenti ampiamente diffusi. I file di archiviazione

spesso vengono utilizzati per eludere il meccanismo di protezione basato sul

contrassegno Web.

C A P I T O L O 4

52CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 52

Figura 13: malware più diffusi a livello globale, 2022

Figura 14: malware più diffusi nelle Americhe, 2022

AMERICHE

Em ot

et

Ag en

tT es

la

Fo rm

bo ok

Qb ot

Sn ak

eK ey

lo gg

er

Lo kib

ot

XM Ri

g nj

RA T

Gu lo

ad er

Re m

co s

10%

8%

4%

3% 3% 3%

2% 2% 2%

1%

MONDO

Em ot

et Qb

ot

Ag en

tT es

la

Fo rm

bo ok

Gu lo

ad er

XM Ri

g nj

RA T

Sn ak

eK ey

lo gg

er

Re m

co s

Lo kib

ot

8%

3% 3%

2% 2% 2%

1% 1% 1% 1%

STATISTICHE GLOBALI DEI MALWARE

Il confronto dei dati presentato nelle prossime sezioni del report è basato sui dati tratti dalla Mappa

delle minacce informatiche di Check Point ThreatCloud per il periodo gennaio-dicembre 2022.

Per ciascuna delle aree indicate di seguito è riportata la percentuale di reti aziendali colpite da

ciascuna famiglia dei malware più diffusi nel 2022.

C A P I T O L O 4

53CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 53

Figura 15: malware più diffusi nell'area EMEA, 2022

EUROPA, MEDIO ORIENTE E AFRICA (EMEA)

Figura 16: malware più diffusi nell'area APAC, 2022

ASIA-PACIFICO (APAC)

Em ot

et

Ag en

tT es

la

Fo rm

bo ok

Qb ot

Sn ak

eK ey

lo gg

er

Lo kib

ot

XM Ri

g

Re m

co s

nj RA

T

Gu lo

ad er

10% 9%

4% 4% 4%

3%

2% 2%

1% 1%

Em ot

et

Ag en

tT es

la

Fo rm

bo ok

Sn ak

eK ey

lo gg

er

Lo kib

ot

XM Ri

g

Ra m

ni t

Qb ot

nj RA

T

Gl up

te ba

15% 14%

9%

7%

5% 4%

3% 3% 2% 2%

C A P I T O L O 4

54CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 54

LE PRINCIPALI TIPOLOGIE DI MALWARE A LIVELLO GLOBALE

Risalendo dalla 4° posizione della classifica Check Point sui malware più diffusi del 2021, Emotet ha riguadagnato la vetta della classifica nel 2022, colpendo il 10% di tutte le reti aziendali. Scoperto nel 2014 come Trojan bancario, Emotet si è evoluto in un potente malware multifunzione che funge da malware di accesso iniziale utilizzato da esperti criminali informatici est-europei. Identificato come

una delle principali minacce informatiche, Emotet è stato smantellato nel gennaio 2021 da un'operazione giudiziaria globale, per poi ricomparire prima della fine dello stesso anno. Alla sua ricomparsa, Emotet veniva distribuito con l'assistenza di Trickbot e successivamente in campagne di spam su larga scala contenenti documenti Office malevoli. Poiché Emotet si basa sullo sfruttamento delle macro di Office, si prevedeva che l'intenzione di Microsoft di disabilitare le macro VBA nei documenti scaricati da internet avrebbe inciso sulla sua distribuzione. Preparatisi al cambiamento, gli operatori di Emotet hanno sperimentato tipi di file alternativi, tra cui i formati .lnk, .xll ZIP e .iso. A novembre, dopo una delle sue interruzioni di routine, Emotet è ricomparso tornando al suo vettore di attacco preferito, i file Excel con macro dannose. Per eludere le limitazioni del contrassegno Web, i documenti dannosi allegati contenevano istruzioni dettagliate per gli utenti che indicavano di copiare i file nella cartella legittima "Modelli". Emotet continua a usare tecniche di hijacking dei thread e-mail e a personalizzare i contenuti dei messaggi in base al Paese target. Abbiamo osservato Emotet distribuire altre famiglie di malware come IcedID e XMRig nei sistemi vittima. Tra le campagne Emotet del 2022 ricordiamo l'attacco contro i dipendenti IKEA, una campagna di phishing negli Stati Uniti che impersonava l'IRS durante il periodo fiscale 2022 e molte altre.

Gli infostealer occupano un posto centrale nella lista di quest'anno, con 4 dei più comunemente utilizzati (AgentTesla, Formbook, SnakeKeylogger e LokiBot) che occupano le prime 6 posizioni nella nostra classifica dei principali malware. La popolarità degli infostealer è correlata alla crescita del mercato delle credenziali rubate e alla loro disponibilità relativamente a basso prezzo per gli attori delle minacce. Una delle tecniche emergenti tra i criminali informatici è l'uso degli infostealer per infezioni ampiamente diffuse non specificatamente mirate alle reti aziendali. Dopo l'infezione iniziale, i criminali informatici eseguono il mining dei dati per identificare le credenziali VPN aziendali e ottenere l'accesso iniziale alle reti.

C A P I T O L O 4

55CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 55

43%

19%

6% 5%

3%

46%

17%

5% 4%

3% 3%

45%

15% 5%

5%

22%

Emotet Qbot Raspberry Robin Phorpiex Glupteba Icedid Other

Emotet Qbot Glupteba Phorpiex Raspberry Robin Mylobot Other

5% 5%

47%

9% 7%

6% 5%

23%

3% Emotet Qbot Raspberry Robin Phorpiex Glupteba Icedid Other

Emotet Qbot Raspberry Robin Phorpiex Glupteba Icedid Other

19%

23%

3%

Figura 17: malware multifunzione più diffusi a livello globale

Figura 19: malware multifunzione più diffusi nell'area EMEA

MONDO

Figura 18: malware multifunzione più diffusi nelle Americhe

Figura 20: malware multifunzione più diffusi nell'area APAC

AMERICHE

EUROPA, MEDIO ORIENTE E AFRICA (EMEA) ASIA-PACIFICO (APAC)

PRINCIPALI TIPOLOGIE DI MALWARE MULTIFUNZIONE

C A P I T O L O 4

56CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 56

ANALISI GLOBALE DEI MALWARE MULTIFUNZIONE

Come nel nostro ultimo report semestrale, le due categorie di malware (Trojan bancari e botnet) precedentemente classificate come distinte sono state unificate. Poiché a molti Trojan bancari sono state aggiunte ulteriori funzionalità che tendono a sovrapporre queste due categorie, abbiamo deciso di introdurre la categoria unificata del "malware multifunzione". I confronti operati in questa categoria si riferiscono quindi all'ultimo report semestrale e non ai precedenti dati annuali.

Emotet e Qbot hanno aumentato la loro attività relativa e ora costituiscono oltre il 60% dei tentativi di infezione della categoria. Raspberry Robin è una novità

nella classifica di malware multifunzione. Scoperta per la prima volta a settembre 2021 mentre utilizzava dispositivi USB infetti e capacità worm per diffondersi, Raspberry Robin è diventata nel giro di un anno una delle più grandi piattaforme di distribuzione malware attiva. Secondo quanto osservato, impiega diverse altre famiglie di malware, tra cui IcedID, Bumblebee e brand di ransomware come Clop e LockBit. Probabilmente legato a Evil Corp, questo malware costituisce una nuova minaccia molto seria.

La botnet Phorpiex, nota per distribuire altre famiglie di malware tramite campagne spam così come per alimentare campagne di estorsione a sfondo sessuale, spam su vasta scala e infezioni ransomware, ha inaugurato il 2022 con l'hijacking delle transazioni in criptovaluta e continua a espandersi, occupando il 4° posto nella classifica multifunzione.

Glupteba è pienamente tornato alla carica dopo l'operazione di smantellamento del 2021 condotta da Google. Il malware vanta diverse capacità, tra cui stealer di credenziali, cryptominer, exploit per router e altro. Ma la famiglia Glupteba è nota soprattutto per la modalità con cui sfrutta la tecnologia blockchain BitCoin come infrastruttura di comando e controllo (C&C) per ricevere le informazioni di configurazione. L'utilizzo dei record BitCoin da parte di Glupteba migliora la resilienza ai takedown per l'impossibilità di eliminare le transazioni della blockchain, per quanto rimangano esposte per l'ispezione pubblica. Il monitoraggio dell'attività di Glupteba tramite la blockchain ha esposto un'estesa campagna in corso avviata a giugno 2022.

C A P I T O L O 4

57CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 57

29%

22% 12%

12%

2%

38%

19%

15%

12%

4% 1%

35%

20% 16%

12%

11%

AgentTesla Formbook SnakeKeylogger Lokibot Vidar xloader Other

AgentTesla Formbook SnakeKeylogger Lokibot Vidar Pony Other

8%

5%

35%

21%

17%

12%

5% 8%

1%

AgentTesla Formbook SnakeKeylogger Lokibot Vidar Pony Other

AgentTesla Formbook SnakeKeylogger Lokibot Vidar RedLine Stealer Other

16%

10% 1%

Figura 21: malware infostealer più diffusi a livello globale

Figura 23: malware infostealer più diffusi nell'area EMEA

Figura 22: malware infostealer più diffusi nelle Americhe

Figura 24: malware infostealer più diffusi nell'area APAC

MONDO AMERICHE

EUROPA, MEDIO ORIENTE E AFRICA (EMEA) ASIA-PACIFICO (APAC)

PRINCIPALI TIPOLOGIE DI MALWARE INFOSTE ALER

C A P I T O L O 4

58CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 58

ANALISI GLOBALE DEL MALWARE INFOSTE ALER

Il crescente mercato di credenziali e cookie rubati, poi utilizzati nel ciclo di vita di access broker, affiliati ransomware e fornitori RaaS, ha contribuito alla crescente popolarità degli infostealer. I dati di Check Point mostrano un costante aumento nell'uso degli infostealer, passato dal riguardare il 18% delle reti aziendali nel 2020 al 21% nel 2021, per poi raggiungere il 24% di tutte le organizzazioni nel 2022. Gli infostealer vengono venduti nei forum underground ad attori delle minacce con vari livelli di competenza tecnica, a fronte di un abbonamento mensile che va da 60 a 1.000 dollari. Il mercato, precedentemente diviso tra più famiglie di malware più piccole, oggi è consolidato e conta quest'anno tre brand, AgentTesla, Formbook e SnakeKeylogger, responsabili del 71% degli attacchi infostealer monitorati da Check Point.

Formbook, rilevato nel 20% dei casi di infostealer, è un malware commerciale venduto as-a-Service nei forum underground dal 2016. È progettato per registrare le pressioni dei tasti, cercare e accedere a file, acquisire screenshot, raccogliere credenziali da browser e scaricare/distribuire payload aggiuntivi. Impiegato da più attori e spesso distribuito tramite allegati e-mail in formato PDF, .doc, RTF, .exe, .zip, .rar e così via, Formbook è stato usato quest'anno contro l'Ucraina e in numerose altre campagne.

Rispetto al 2021, l'infostealer .NET modulare SnakeKeylogger ha scalato tre posizioni nella nostra classifica dei principali malware. Snake è apparso per la prima volta verso la fine del 2020 e si è rapidamente diffuso tra i criminali informatici. Le principali funzionalità di Snake includono la registrazione della pressione dei tasti, l'acquisizione di screenshot, la raccolta di credenziali e contenuti degli appunti, oltre al supporto per l'esfiltrazione dei dati rubati tramite i protocolli HTTP ed SMTP. Ad agosto i ricercatori hanno osservato la presenza di SnakeKeylogger in campagne di malspam diffuse tramite e-mail di phishing per colpire aziende IT con sede negli Stati Uniti.

C A P I T O L O 4

59CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 59

84%

7% 4%

1%

84%

5% 3%

2% 6%

76%

10%

8% 1%

XMRig LemonDuck Wannamine JenkinsMiner Other

XMRig LemonDuck Wannamine NRSMiner Other

4%5%

64%15%

14%

2% 5%

XMRig LemonDuck Wannamine Kinsing Other

XMRig LemonDuck Wannamine Lucifer Other

Figura 25: malware di cryptomining più diffusi a livello globale

Figura 27: malware di cryptomining più diffusi nell'area EMEA

Figura 26: malware di cryptomining più diffusi nelle Americhe

Figura 28: malware di cryptomining più diffusi nell'area APAC

MONDO AMERICHE

EUROPA, MEDIO ORIENTE E AFRICA (EMEA) ASIA-PACIFICO (APAC)

PRINCIPALI TIPOLOGIE DI MALWARE DI CRYPTOMINING

C A P I T O L O 4

60CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 60

ANALISI GLOBALE DEI CRYPTOMINER

La capitalizzazione del mercato delle criptovalute è diminuita drasticamente nel

2022, causando perdite per quasi 2 trilioni di dollari arrivate alla cifra record di 2,9

trilioni a novembre 2021. Il valore ridotto delle criptovaluta e l'aumento dei costi di

mining influiscono sulla redditività del mining e, di conseguenza, sulla motivazione

alla sua base. Questo spiega la riduzione delle visibilità dei cryptominer in tutto

il mondo, dal 21% del 2021 al 16% del 2022. Questo declino ha fatto sì che XMRig,

uno strumento di mining open-source legittimo, emergesse come principale

strumento utilizzato dagli autori degli attacchi per scopi dannosi. XMRig è stato

impiegato nel 76% degli attacchi di cryptomining del 2022 e, come riportato nel

capitolo CPIRT, spesso apre una breccia che potrebbe portare successivamente

alla diffusione di altri malware.

LemonDuck, un malware relativamente nuovo che non presenta impieghi legittimi,

dal suo rilevamento iniziale nel 2019 ha aggiunto funzioni dannose come il furto

delle credenziali e il movimento laterale. Poiché LemonDuck offre anche la

possibilità di rilasciare ulteriori strumenti per gli attacchi con operatori umani,

la sua presenza deve essere seriamente considerata un possibile precursore di

attacchi molto più gravi.

C A P I T O L O 4

61CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 61

26%

24%

11% 7%

31%

19%

18%

9% 6%5%

49%

25%

20%

8% 5%

Anubis Joker AlienBot Hydra Hiddad Other

Joker Anubis Sharkbot Hiddad AlienBot Other

6%

5%

38%

17%5% 5%

5%

42%Joker Anubis AlienBot Hiddad Hydra Other

Joker Anubis AlienBot Hydra Hyddad Other

34%

Figura 29: Trojan bancari più diffusi a livello globale

Figura 31: Trojan bancari più diffusi nell'area EMEA

Figura 30: Trojan bancari più diffusi nelle Americhe

Figura 32: Trojan bancari più diffusi nell'area APAC

MONDO AMERICHE

EUROPA, MEDIO ORIENTE E AFRICA (EMEA) ASIA-PACIFICO (APAC)

PRINCIPALI TIPOLOGIE DI MALWARE PER DISPOSITIVI MOBILI

C A P I T O L O 4

62CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 62

ANALISI GLOBALE DEI MALWARE PER DISPOSITIVI MOBILI

Joker, un malware per dispositivi Android, è uno stealer in grado di accedere

a messaggi SMS, rubrica e informazioni sul dispositivo che genera introiti

principalmente tramite abbonamenti non autorizzati a servizi premium a

pagamento. Joker utilizza l'accesso ai messaggi SMS per l'autenticazione delle

richieste e l'autorizzazione dei pagamenti. Joker (noto anche come Bread) è

stato identificato per la prima volta nel 2017 nascosto in oltre 1.700 applicazioni

dall'aspetto legittimo offerte su Google Play Store. Il malware è ricomparso

quest'anno, nascondendosi in almeno 8 applicazioni su Google Store con oltre 3

milioni di download nel 2022, scalando la vetta della classifica di Check Point sui

principali malware per dispositivi mobili a livello globale.

Anubis è un malware Trojan bancario progettato per cellulari Android. Da quando

è stato scoperto nel 2017, ha aggiunto ulteriori capacità, come funzionalità Trojan

di accesso remoto (RAT, Remote Access Trojan), keylogger e registrazione audio.

È stato rilevato in centinaia di applicazioni diverse disponibili nel Google Store ed è

stato inserito all'inizio di quest'anno nella classifica di Check Point sulle principali

tipologie di malware per piattaforme mobili.

C A P I T O L O 4

63CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 63

C A P I T O L O 5

VULNERABILITÀ GLOBALI DI ALTO PROFILO

64CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 64

Il seguente elenco delle principali vulnerabilità è basato sui dati raccolti dalla rete di

sensori Check Point Intrusion Prevention System (IPS) e illustra in dettaglio alcuni

exploit e tecniche di attacco più diffusi e interessanti osservati da cp<r> nel 2022.

V ULNER ABILITÀ PROX YSHELL (CVE-2021-34473,

CVE-2021-34523 E CVE-2021-31207)

ProxyShell è il nome assegnato a una catena di attacchi che sfrutta tre

vulnerabilità di Microsoft Exchange Server. La combinazione di queste tre

vulnerabilità consente agli hacker di eseguire un codice remoto su server

vulnerabili. Nonostante siano state scoperte e corrette nel 2021, restano in cima

alla classifica delle principali e più sfruttate vulnerabilità anche per il 2022. Tra

le ragioni della loro popolarità tra gli autori degli attacchi vi sono la semplicità

di sfruttamento, la diffusione dei server MS Exchange in governi e grandi

aziende e le estese analisi e discussioni svolte dai ricercatori. I dati di Check

Point mostrano che nel 2022 il 21% dei nostri clienti è stato colpito da tentativi

di attacco ProxyShell. Le vulnerabilità ProxyShell sono state sfruttate dagli

attori delle minacce per diversi motivi, tra cui la diffusione di ransomware per

finalità economiche, lo spionaggio in Medio Oriente e Africa e l'accesso a entità

americane, australiane, canadesi e britanniche da parte delle entità APT iraniane.

Secondo le indagini del Team Incident Response Check Point (CPIRT), gli exploit

ProxyShell vengono usati 1 attacco ogni 6. Insieme a ProxyLogon e ProxyNotShell,

recentemente scoperta, queste vulnerabilità di MS Exchange espongono una

significativa superficie di attacco, spesso sfruttata in-the-wild e causa di

importanti violazioni.

C A P I T O L O 5

65CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 65

FOLLINA IN MICROSOF T OFFICE (CVE-2022-30190)

Scoperta a maggio 2022, questa vulnerabilità rilevata nello strumento di

diagnostica supporto tecnico di Microsoft (MSDT) viene sfruttata usando

documenti di Microsoft Office. Microsoft ha compiuto molti sforzi per ridurre

gli attacchi basati su documenti Office, disabilitando le macro nei documenti

provenienti da fonti esterne. Per l'exploit della nuova vulnerabilità Follina, gli

autori degli attacchi utilizzano ora documenti in formato .docx e .rtf appositamente

creati per scaricare ed eseguire codici dannosi anche in modalità protetta e con

le macro disabilitate. Nonostante gli sforzi di prevenzione di Microsoft, gli attori

delle minacce hanno sfruttato Follina in sistemi senza patch per distribuire Qbot

e altri RAT, rendendola una delle vulnerabilità più utilizzate scoperta nel 2022 che

contribuisce alla diffusione di documenti Office malevoli.

FORTINET CVE-2022-40684 E CVE-2022-42475

I due bug critici segnalati a ottobre (punteggio CVSS 9,6) e dicembre (punteggio

CVSS 9,3) nei prodotti Fortinet consentono agli autori degli attacchi di eseguire

codici arbitrari tramite richieste appositamente create. L'azienda ha riportato

exploit in-the-wild ed emesso aggiornamenti, mentre CISA ha diramato un avviso

sul rischio significativo per l'azienda federale. I tentativi di exploit di CVE-2022-

40684 negli ultimi 3 mesi hanno investito il 18% delle organizzazioni.

C A P I T O L O 5

66CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 66

Le nuove vulnerabilità scoperte e segnalate nel 2022, quest'anno sono state rapidamente usate come armi dagli attori delle minacce. Rispetto al 2021, dove gli attacchi che sfruttavano vulnerabilità dello stesso anno erano solo il 2%, quest'anno Check Point ha osservato il loro uso nel 6% degli attacchi. Oltre a quelle sopra citate, anche le vulnerabilità RCE (CVE-2022-26134) e F5 BIG IP (CVE- 2022-1388) di Atlassian Confluence segnalate nel nostro report semestrale hanno fatto parte dei nuovi tentativi di exploit. I nostri dati mostrano che le vulnerabilità segnalate negli ultimi 3 anni costituiscono il 24% dei tentativi di exploit, dato in aumento rispetto al solo 18% del 2021. Ciò indica un miglioramento di competenze e capacità di integrazione degli attori delle minacce, manifestato specialmente negli attacchi basati su cloud, con un 27% di attacchi che sfrutta nuove vulnerabilità (2020-2022). Lo sfruttamento delle vulnerabilità note è proseguito con le CVE ampiamente utilizzate del 2017, come le vulnerabilità di esecuzione

Figura 33: percentuale di attacchi basati su vulnerabilità nel 2022 in base all'anno della divulgazione.

2022

2021

2020

2019

2018

2017

2016

2015

2014

2013

2012

Earlier

0 2 4 6 8 10 12

6%

9%

9%

5%

10%

12%

7%

11%

10%

4%

7%

10%

C A P I T O L O 5

67CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 67

di codice remoto del software Apache Struts2 (CVE-2017-5638), utilizzata dalle botnet, e PHPUnit (CVE-2017-9841), ancora sfruttata per l'exploit dei plug-in vulnerabili di WordPress. Le informazioni raccolte dal Team Incident Response Check Point (CPIRT) mostrano che la proporzione delle vulnerabilità scoperte di recente in attacchi andati a segno è perfino più alta: le sole vulnerabilità ProxyShell sono state utilizzate nel 17% dei casi esaminati. Questo dimostra che, sebbene i tentativi di usare vulnerabilità di 4-5 anni fa siano ampiamente diffusi, gli attacchi di successo spesso si basano su falle di recente scoperta, sfruttate prima che vengano applicate le patch. Il fenomeno della "lunga coda" di exploit delle vulnerabilità continua, con il 50% di attacchi in-the-wild avente come target vulnerabilità segnalate prima del 2017. Sono generalmente meno efficaci e impiegate da autori di attacchi meno esperti. Questi risultati dimostrano ancora una volta l'importanza dell'applicazione tempestiva delle patch.

V U L N E R A B I L I T À

C A P I T O L O 5

68CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 68

C A P I T O L O 6

PROSPETTIVA SULLA RISPOSTA AGLI INCIDENTI

69CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 69

Nel riquadro è evidenziato un caso specifico analizzato da CPIRT nel 2022. Gli altri

testi includono osservazioni e dati che fanno riferimento a tutti i casi gestiti nel

2022. Alcuni dettagli sono stati modificati per garantire la riservatezza dei clienti.

Un lunedì mattina di marzo 2022, il Team Incident Response Check Point

(CPIRT) riceve una chiamata da un'azienda tecnologica europea di medie

dimensioni, caduta vittima di un attacco ransomware di tipo Quantum

Locker sferrato il mattino presto del giorno precedente. Era in linea

Robert, CISO dell'azienda. Iniziava così la tipica giornata lavorativa di un

analista IR, che spesso corrisponde a una delle peggiori giornate nella vita

(professionale) dei clienti.

Diversamente dalle analisi e dai trend discussi nei capitoli precedenti di questo

report, basati sui dati anonimizzati raccolti dai prodotti Check Point durante

la protezione preventiva di routine, questo capitolo illustra la visione del Team

Incident Response Check Point, che fornisce servizi di contenimento degli attacchi

in risposta a vari tipi di violazioni attive e non specifiche dei clienti Check Point.

Robert raccontava che la maggior parte dei server dei loro data center,

compresi controller di dominio e server di file, erano stati crittografati

e messi fuori uso. Senza backup, il caso aveva bloccato interamente le

loro operazioni. Avevano bisogno di assistenza per analizzare e contenere

l'attacco. La missione di CPIRT era rilevare le vulnerabilità presenti e le

attività dannose in corso, ripristinare la funzionalità della rete ed eseguire

un'analisi della causa radice per identificare il vettore di attacco iniziale e

prevenire gli attacchi futuri.

C A P I T O L O 6

70CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 70

Figura 34: suddivisione dei casi esaminati dal CPIRT in base all'indicatore di minaccia iniziale per il 2022

49%

11%

7%

10%

Ransomware Email Compromise Single server compromise Phishing attempt Compromised Credentials Multiple host compromise Single host compromise Brute Force Data Leak Other

3%

3% 4%

5%

3%

5%

Il coinvolgimento di CPIRT segue in genere il rilevamento di un'attività malevola

visibile, come file crittografati (ransomware), mail, messaggi e-mail falsificati

o manomessi (compromissione dell'e-mail) oppure presenza di file malware o

processi sconosciuti in un sistema informatico. La suddivisione delle minacce

iniziali da parte del CPIRT offre una prospettiva sul panorama delle minacce

diversa da quella fornita di routine dai dati dei nostri prodotti.

D A N I E L W I L E Y Head of Threat Management and Chief Security Advisor,

Check Point Software Technologies

L'analisi degli indicatori di minaccia iniziale svolta dal CPIRT nel 2022 indica che almeno il 50% dei casi riguarda infezioni ransomware. La suddivisione delle minacce di cui sopra è diversa da quella riportata nei dati dei nostri prodotti, dove malware multifunzione e infostealer vengono posizionati in vetta alla classifica. Tuttavia, i dati del CPIRT dimostrano che, per una grande impresa, i rischi maggiori sono costituiti dagli attacchi ransomware totali e dalla compromissione completa della rete. La telemetria di prodotto che registra le attività dei malware multifunzione spesso mostra solo l'incursione iniziale che, se prevenuta, consente di bloccare danni più estesi.

C A P I T O L O 6

71CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 71

RCE vulnerability

Exposed RDP Service

Phishing / Malspam

Brute force / Credential stuffing

Insider threat

Compromised Credentials

0 10 20 30 40 50

47%

24%

21%

8%

7%

3%

Dopo la prima indagine forense svolta dal CPIRT, era chiaro che il punto

di ingresso era stato il server Exchange dell'azienda, al quale non erano

state applicate patch. Il server era vulnerabile a due exploit molto diffusi

usati dagli attori delle minacce dal 2021: lo stesso gruppo di vulnerabilità

utilizzato da Hafnium (CVE-2021-26855 e CVE-2021-26855, CVE-2021-26857

o CVE-2021-26858) e le vulnerabilità ProxyShell (CVE-2021-34473, CVE-

2021-34523 e CVE-2021-31207).

In quasi metà dei casi analizzati dal CPIRT, gli hacker ottengono il punto di accesso

iniziale sfruttando un server vulnerabile con vulnerabilità RCE senza patch e

porte aperte sull'Internet. Di fatto, le vulnerabilità ProxyShell erano la causa di

1 incidente su 6 di quelli analizzati da CPIRT nel 2022, nonostante la scoperta e

l'applicazione di patch per tali vulnerabilità sia avvenuta nel 2021.

Figura 35: suddivisione del vettore di accesso iniziale nei casi esaminati dal CPIRT nel 2022

C A P I T O L O 6

72CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 72

Spesso, per intrufolarsi nella rete, gli autori degli attacchi utilizzano un servizio RDP esposto in combinazione con una vulnerabilità RCE o con attacchi password, come attacchi di forza bruta o credential stuffing. I server di posta elettronica, crittografabili più facilmente, sono spesso l'anello debole di una rete e il comune punto di ingresso iniziale per gli hacker. Questo perché, per via di questioni di prestazioni, i prodotti anti-ransomware e di sicurezza per endpoint spesso non vengono installati sui server. Se si aggiunge l'elevato numero di vulnerabilità, l'esposizione della rete e la cattiva gestione delle patch, per molte organizzazioni sono i server (e non gli endpoint periferici) a costituire il punto più debole e quindi sfruttato in molti attacchi.

Un'ulteriore analisi ha rivelato che lo stesso server Exchange vulnerabile

era stato due volte oggetto di exploit, in incidenti a distanza di 9 mesi. Il

primo attacco al server era avvenuto a giugno 2021. Inizialmente era stato

installato "solo" un cryptominer che utilizzava più asset della rete.

Questo sottolinea l'urgenza di trattare ogni violazione con la stessa serietà di un

attacco ransomware in piena regola. Come in questo caso, cryptominer e altri tipi

di malware "minori" sono spesso indicatori iniziali del possibile sfruttamento che

potrebbe portare più tardi a disastri informatici.

Per divenire persistente, questo attacco modificava una chiave di registro

per connettersi periodicamente a una risorsa esterna e scaricarla.

Inizialmente si trattava di un cryptominer installato su decine di macchine,

ma la risorsa poteva essere modificata rapidamente per un altro payload.

Al termine dell'attacco iniziale di metà 2021, gli autori hanno rilasciato

nella rete un elenco di asset di rete e utilizzato Mimikatz per raccogliere

le credenziali dalla rete infetta. Alcune delle password rubate erano hash

NTLM che, per la loro scarsa complessità, sono state facilmente oggetto di

reverse-engineering e trasformate in versione testo normale.

C A P I T O L O 6

73CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 73

Cobalt Strike

Mimikatz

AnyDesk

XMRig

PsExec

RdpWrap

Teamviewer

Session Gropher

Metasploit

Kali Linux

Chrome Password Reader

ADAudit

0 5 10 15 20 25 30 35 40

38%

33%

21%

13%

9%

8%

7%

7%

6%

6%

6%

5%

Figura 36: strumenti utilizzati nei sistemi compromessi dei casi esaminati dal CPIRT nel 2022.

Le statistiche dei casi analizzati dal CPIRT rivelano negli attacchi l'uso estensivo

di strumenti non basati su firma. Tra i principali strumenti utilizzati quest'anno

vi sono Cobalt Strike e Mimikatz. Tuttavia, per la prima volta, al terzo posto della

classifica subentra uno strumento di amministrazione legittimo, AnyDesk. Con

l'aumento dell'uso di strumenti di amministrazione legittimi negli attacchi, l'uso

di malware personalizzati creati dagli attori delle minacce è diminuito e stiamo

assistendo a un aumento di attacchi che non includono alcun malware. Questo

cambiamento negli strumenti utilizzati dagli autori degli attacchi è illustrato in

dettaglio in un capitolo dedicato di questo report.

Durante la seconda violazione a marzo 2022 sono stati utilizzati i dati

sottratti nove mesi prima. L'elenco di asset e le credenziali sottratte

durante il primo attacco sono stati utilizzati per consentire e dirigere la

diffusione del ransomware.

C A P I T O L O 6

74CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 74

Lockbit

Black Basta

Conti

Dharma

Hive

Royal

Vice Society

Phobos

0 1 2 3 4 5 6 7 8

8%

7%

7%

5%

5%

5%

4%

4%

Figura 37: principali famiglie di ransomware rilevate nei casi IR del 2022

Credenziali rubate e accesso alle reti aziendali vengono spesso scambiati tra

gli attori delle minacce o venduti dagli "initial access broker". L'outsourcing di

un numero sempre maggiore delle componenti di attacco, insieme all'ulteriore

frammentazione delle minacce, complica l’attribuzione. È per questo che in molti

casi analizzati dal CPIRT nel 2022, l'attacco non è stato attribuito a gruppi di

minacce noti o comuni. Abbiamo visto anche l'uso di più famiglie di malware in un

singolo attacco, come nel caso di IceID per distribuire RansomEXX.

Se il primo attacco era passato relativamente in sordina, il secondo ha

comportato la crittografia di server critici e causato danni gravi. C'è un

lieto fine, tuttavia: al termine di un processo lungo e snervante, grazie

al supporto del CPIRT, Robert ha potuto recuperare i dati dell'azienda e

ripristinare la normale attività aziendale.

Questo è uno dei moltissimi casi gestiti da CPIRT nel 2022 che sottolineano

l'importanza fondamentale di quanto segue:

• Applicare patch non appena è disponibile un aggiornamento.

• Imporre una politica di password complesse con aggiornamenti frequenti.

• Utilizzare soluzioni anti-ransomware e di sicurezza per endpoint sui sistemi critici.

Come può testimoniare Robert, queste misure prevengono le catastrofi aziendali.

C A P I T O L O 6

75CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023

C A P I T O L O 7

INSIGHT 2023 PER I CISO: INTERRUZIONE E DISTRUZIONE

76CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 76

IL FUTURO CI RISERVA PIÙ ATTACCHI ALLE AZIENDE DI TUTTO IL MONDO,

NORME GOVERNATIVE PIÙ SEVERE E MOLTO ALTRO

Per i CISO il 2022 è stato un anno impegnativo. Rispetto allo stesso periodo del 2021, gli attacchi globali sono aumentati del 28% nel terzo trimestre 2022, con una media settimanale di attacchi per organizzazione che ha raggiunto quota 1.130 in tutto il mondo. Affacciandoci al 2023, questo trend non mostra segni di rallentamento, ma un maggiore ricorso a ransomware e hacktivismo mobilitato dagli Stati e dai conflitti internazionali. Al contempo, team di sicurezza e CISO devono affrontare le crescenti pressioni derivanti dal deficit sempre più grave di forza lavoro informatica, a cui mancano all'appello 3,4 milioni di dipendenti, e dall'introduzione di leggi sempre più severe per proteggere i cittadini dalle violazioni informatiche.

Nel 2022, criminali informatici e attori delle minacce legati agli Stati hanno continuato a sfruttare il lavoro ibrido dovuto alla recente decentralizzazione della forza lavoro. L'aumento di questo tipo di attacchi non mostra segni di rallentamento mentre il conflitto russo-ucraino continua a lasciare un profondo impatto in tutto il mondo. Urge per le aziende il consolidamento e l'automazione delle infrastrutture di sicurezza, che garantisce monitoraggio e gestione migliori delle superfici di attacco e prevenzione delle minacce con meno complessità e minore dispiego di personale.

INSIGHT PER IL 2023: QUALE DEVE ESSERE IL FOCUS DEI CISO E COSA SIGNIFICA PER LE ORGANIZZAZIONI?

Aumento di malware distruttivi e gravi exploit di hacking • Nessuna tregua dai ransomware: questa era la principale minaccia per le organizzazioni nella

prima metà del 2022. L'ecosistema ransomware continuerà a evolvere e a crescere con la formazione di gruppi criminali più piccoli e agili che tentano di evadere la legge.

• Compromissione degli strumenti di collaborazione: se i tentativi di phishing contro account e-mail aziendali e personali sono una minaccia quotidiana, nel 2023 i criminali amplieranno i loro obiettivi per colpire con exploit di phishing strumenti di collaborazione come Slack, Teams, OneDrive e Google Drive. Poiché i dipendenti della maggior parte delle aziende continuano a lavorare da remoto, questi strumenti costituiscono ricche fonti di dati sensibili.

C A P I T O L O 7

77CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 77

M AYA H O R O W I T Z Vicepresidente, Research,

Check Point Software Technologies

Gli attori delle minacce ransomware continueranno a perpetrare doppie estorsioni, crittografando reti ed esfiltrando dati, perché le violazioni assicurano grandi guadagni. Inizieremo però anche a vedere più attacchi in cui l'estorsione è correlata solo alla violazione di dati senza crittografia, ossia furti di dati che tuttavia restano utilizzabili.

Nel caso di strumenti di collaborazione compromessi si parla di attacchi più sofisticati all'interno di più domini, noti come attacchi di 5° generazione, che iniziano con un'e-mail per poi estendersi a rete, firewall e altri componenti. Possono volerci mesi per scoprirli. Stiamo assistendo inoltre a un aumento della cosiddetta "via statica", dove si possono creare elenchi di "elementi consentiti" statici in modo che tutti i contenuti di Google siano consentiti. Si tratta di una prassi comune dovuta alla difficoltà di analizzare tutti i domini. Ad esempio, possiamo creare un prodotto dannoso su un sito conosciuto e avere la certezza che la parte ricevente lo acquisterà, prevalentemente facendo clic perché si tratta di una vera fattura PayPal/QuickBook che però contiene un virus. Questo potrebbe estendersi anche ad altri brand affidabili. Se nel phishing vengono utilizzati indirizzi e-mail fasulli, in questi casi sembrano legittimi e ingannano quindi sia gli utenti che i sistemi di sicurezza.

Con il passaggio agli strumenti di collaborazione come Slack e Teams avvenuto durante la pandemia, assisteremo a un aumento degli attacchi che sfruttano queste piattaforme. Finora la maggior parte degli attacchi è stata sferrata via e-mail, ma potrebbe avvenire tramite qualsiasi app o servizio che utilizza le stesse credenziali di accesso. L'idea che Teams sia impenetrabile, che porta gli utenti a condividere liberamente dati e informazioni personali, è in realtà sbagliata. La compromissione delle e-mail aziendali ha causato perdite per 2,4 miliardi di dollari, ma dovrebbe forse essere chiamata compromissione delle collaborazioni aziendali.

J E R E M Y F U C H S Ricercatore/analista,

Avanan (azienda software di Check Point)

C A P I T O L O 7

78CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 78

HACKTIVISMO E DEEPFAKE SI EVOLVONO CON ATTACCHI A ORGANIZZAZIONI NAZIONALI

E AGENZIE GOVERNATIVE

• Hacktivismo mobilitato dallo Stato: nell'ultimo anno, l'hacktivismo si è

evoluto passando da gruppi sociali con programmi variabili (come Anonymous)

a gruppi di affiliazione statale più organizzati, strutturati e sofisticati. Tali

gruppi hanno recentemente attaccato obiettivi di Stati Uniti, Germania,

Italia, Norvegia, Finlandia, Polonia e Giappone: questi attacchi ideologici

continueranno ad aumentare nel 2023.

• Deepfake usati come armi: nell'ottobre 2022, un deepfake del Presidente degli

Stati Uniti Joe Biden, dove cantava "Baby Shark" al posto dell'inno nazionale,

è diventato virale. Si trattava di uno scherzo o di un tentativo di influenzare le

importanti elezioni statunitensi di metà mandato? La tecnologia deepfake verrà

utilizzata sempre più per colpire e manipolare le opinioni e per convincere con

l'inganno i dipendenti a fornire credenziali di accesso.

I confini tra attori nazionali, criminali informatici e hacktivisti saranno sempre meno netti. Vedremo più gruppi di hacktivisti supportare la narrativa degli Stati e gli attori nazionali apprendere tecniche dai criminali informatici esperti. Poiché tutto questo renderà più difficile l'attribuzione degli attacchi ai singoli gruppi, le organizzazioni dovranno adottare adeguate difese informatiche contro ogni tipo di attore delle minacce.

S E R G E Y S H Y K E V I C H Threat Intelligence Group Manager,

Check Point Software Technologies

C A P I T O L O 7

79CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 79

SOLUZIONI IOT E BASATE SU CLOUD: IL PRINCIPIO DI " VULNER ABILIT Y BY DESIGN"

INCIDE SUI VET TORI DI AT TACCO ALLE A ZIENDE

• Le soluzioni cloud aumentano di complessità: è chiaro che il maggiore uso di

soluzioni IoT e basate su cloud comporta nuove sfide per gli esperti di sicurezza.

Con meno controllo e visibilità sulla posizione di archiviazione dei dati e

sulle modalità di accesso, è difficile garantire la sicurezza dell'accesso alle

informazioni sensibili. Ciò è particolarmente vero in settori come quello sanitario

e manifatturiero, dove sensori e dispositivi basati sull'IoT sono sempre più

diffusi. Anche l'uso di dispositivi quali fotocamere, stampanti e smart TV per le

videoconferenze ha introdotto nuove vulnerabilità. In generale, per garantire

la sicurezza di sistemi IoT e basati su cloud, che continueranno a rivestire una

posizione centrale e di rilievo in tutti gli ambienti IT, è importante che le aziende

adottino misure quali l'implementazione di un adeguato controllo degli accessi e il

monitoraggio costante delle potenziali vulnerabilità.

Lo sfruttamento delle vulnerabilità è diffuso per via dell'eccezionale velocità degli hacker nell'individuare lacune nei prodotti noti e più utilizzati dalle aziende. Per questo è di assoluta importanza applicare almeno patch e aggiornamenti, semplici misure di sicurezza che vengono tuttavia spesso trascurate.

M U H A M M A D YA H YA PAT E L Global Cybersecurity Evangelist,

Check Point Software Technologies

C A P I T O L O 7

80CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 80

I GOVERNI INCREMENTANO LE MISURE PER PROTEGGERE CIT TADINI E ORGANIZZ A ZIONI

• Nuove leggi sulle violazioni di dati: la violazione della compagnia di telecomunicazioni australiana Optus ha spinto il governo del Paese a introdurre nuove leggi sulle violazioni di dati per proteggere i clienti dalle conseguenti frodi, introducendo un aumento delle sanzioni massime per violazioni gravi o reiterate dall'attuale cifra di 2,22 milioni a 50 milioni di dollari australiani. Misure simili sono state introdotte dal governo britannico con il nuovo obbligo per i fornitori di servizi gestiti (MPS) di dichiarare gli incidenti informatici, pena la sanzione di 17 milioni di sterline. Oltre alle misure già in atto, come il GDPR, il governo australiano sta considerando l'imposizione del divieto di pagamento dei riscatti ai criminali informatici, portando possibilmente altri governi nazionali a seguire l'esempio nel 2023.

• Nuove task force nazionali contro il crimine informatico: altri governi seguiranno l'esempio di Singapore, che ha scelto di istituire delle task force inter-agenzie per contrastare ransomware e crimine informatico, riunendo aziende, dipartimenti statali e forze dell'ordine per combattere la crescente minaccia che incombe su mercati e consumatori. Questi sforzi sono in parte risultato dei dubbi relativi alla possibilità di fare affidamento sul settore assicurativo informatico come rete di sicurezza per gli incidenti informatici. Anche l'Unione europea ha rafforzato sicurezza informatica e resilienza con l'introduzione della nuova direttiva NIS2, che definirà la linea base per la gestione e la rendicontazione del rischio NIS2 in tutti i settori, inclusi energetico, sanitario e dell'infrastruttura critica.

Mi aspetto di assistere a un rallentamento del passaggio al cloud per via di costi e complessità e al ritorno di molte aziende a carichi di lavoro in-house o quanto meno in data center privati. Questo potrebbe aiutare a ridurre la superficie di attacco complessiva.

D E R Y C K M I T C H E L S O N Field CISO EMEA,

Check Point Software Technologies

C A P I T O L O 7

81CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 81

• Imposizione dei principi di sicurezza e privacy by design: il settore

automobilistico si è già mosso per introdurre misure atte a proteggere i dati

dei proprietari dei veicoli. L'esempio verrà seguito in altre aree di beni di

consumo che prevedono archiviazione e trattamento dei dati, affidando ai

produttori la responsabilità delle vulnerabilità presenti nei loro prodotti.

Per evitare che i dati altamente sensibili finiscano nelle mani sbagliate, i CISO devono capire dove sono le risorse più preziose di un'azienda, analizzando anche i sistemi di terze parti. I CISO devono tenere conto di quali utenti e quali sistemi hanno accesso ai dati, pensare alle API e dare priorità all'implementazione zero-trust. Questo significa applicare il principio dei privilegi minimi, in modo da garantire l'accesso minimo indispensabile alle risorse per utenti e sistemi.

Con gli attori delle minacce sempre più spudorati, gli attacchi all'infrastruttura critica continueranno ad aumentare, ma saranno anche più complessi da condurre e richiederanno strumenti speciali. I settori chiave, come quelli di energia, telecomunicazioni e sanità, vengono presi di mira perché hanno moltissimo da perdere e sono più propensi a cedere ai riscatti. Sebbene gli attacchi al mondo dell'istruzione siano casuali, continueranno per via della struttura delle reti.

A S H W I N R A M Cybersecurity Evangelist,

Check Point Software Technologies

M AYA H O R O W I T Z Vicepresidente, Research,

Check Point Software Technologies

C A P I T O L O 7

82CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 82

VULNER ABILITÀ ZERO-DAY DELL A SUPPLY CHAIN E CODICI SOF T WARE POSSONO ESSERE SFRUT TATI

SABOTANDO LE OPER A ZIONI A ZIENDALI QUOTIDIANE

• La piaga delle vulnerabilità zero-day continua ad abbattersi sulle aziende:

sebbene queste vulnerabilità vengano in genere scoperte dagli "hacker buoni", che

applicano patch prima che vengano rese pubbliche, possono essere facilmente

sfruttate se rilevate. Se non è ancora accaduto è perché la maggior parte degli

attori delle minacce ha più interesse a sfruttare vulnerabilità di più facile accesso.

La vulnerabilità ProxyLogon, scoperta lo scorso anno, è ancora la più sfruttata

per via della sua efficacia. Tuttavia, se gli attori delle minacce scoprissero e

sfruttassero una vulnerabilità zero-day prima dell'applicazione delle patch, i danni

sarebbero devastanti e distruttivi. Fino a poco tempo fa non erano molti gli attori

delle minacce intenzionati a mettere fuori uso più reti possibili, ma l'attuale clima

di caos e la mutevolezza dei motivi potrebbero portare a un maggior numero di

tentativi di sfruttamento delle vulnerabilità zero-day. Applicare patch e tenere i

software aggiornati è una missione critica.

P E T E N I C O L E T T I Field CISO, Americhe, Check Point Software

Technologies

Attacchi e violazioni alla supply chain continueranno ad aumentare nel corso del prossimo anno. La maggior parte delle aziende è carente nella gestione dei rischi dei componenti che usa e non ha visibilità sulla SBOM né una strategia completa, tanto meno un'idea chiara sui punti di vulnerabilità.

C A P I T O L O 7

83CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 83

IL CONSOLIDAMENTO COME SOLUZIONE ALL'E VOLUZIONE DELLE SFIDE DI SICUREZZ A IT

PER LE A ZIENDE

Ridurre la complessità per ridurre i rischi: a causa della pandemia, le organizzazioni

operano su reti più complesse e distribuite e usano il cloud come mai prima d'ora. Nel

fitto panorama di elementi da considerare, i team di sicurezza devono consolidare le

infrastrutture IT e di sicurezza per migliorare le difese e ridurre il proprio carico di

lavoro in modo da poter anticipare le minacce. Le statistiche parlano da sole: oltre due

terzi dei CISO ha affermato che lavorare con meno soluzioni dei fornitori aumenterebbe

la sicurezza dell'azienda. I team di sicurezza devono consolidare le infrastrutture IT e di

sicurezza per migliorare le difese e ridurre il proprio carico di lavoro in modo da poter

anticipare le minacce.

J O N AT H A N ‘J O N Y ’ F I S C H B E I N

CISO, Check Point Software

Technologies

L'intero settore ha fatto passi da gigante per diminuire il numero di soluzioni e ridurre la complessità. Storicamente, le aziende usavano tra 15 e 17 soluzioni. Ora i CISO cercano di ridurre il numero per diminuire la complessità, portando il settore a cercare risposta nel consolidamento. Suggeriamo l'impiego di una dashboard gestionale che consenta ai professionisti della sicurezza di ridurre il livello di complessità per la gestione dei problemi di sicurezza.

C A P I T O L O 7

84CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 84

D E R Y C K M I T C H E L S O N Field CISO EMEA,

Check Point Software Technologies

Il consolidamento diventerà una priorità "reale" nel 2023, specialmente quando le aziende cercheranno di eliminare i costi, alzatisi per via della tanto discussa recessione e, ancor più importante, la complessità dall'intero stack digitale e di sicurezza.

Le aziende devono considerare il nuovo universo del lavoro da casa e come risolvere le sfide poste dalla forza lavoro ibrida e da remoto, il cui profilo di sicurezza potrebbe non essere solido come quello dell'azienda madre. Quando è questa forza lavoro a sfruttare la rete, è necessario considerare la prevenzione degli attacchi tramite i nuovi vettori. Consolidare l'intero profilo di sicurezza informatica è un passo nella giusta direzione.

A N T O I N E T T E H O D E S Solutions Architect & Evangelist, EMEA, Check Point Software

Technologies

C A P I T O L O 7

85CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023

C A P I T O L O 8

PREVENZIONE, UN OBIETTIVO RAGGIUNGIBILE

86CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 86

SUBIRE AT TACCHI NON È INE VITABILE: L A PRE VENZIONE È POSSIBILE

Gli attacchi zero-day sfruttano le vulnerabilità informatiche sconosciute e

bypassano con facilità le soluzioni di sicurezza basate su firma, esponendo

di conseguenza le aziende a rischi estremamente pericolosi. Gli attacchi

ransomware sono divenuti una minaccia informatica centrale nonché un fattore

distruttivo per organizzazioni, aziende e perfino governi di tutto il mondo. Gli

attacchi di phishing possono avere diversi scopi, tra cui diffondere malware,

estorcere denaro e rubare credenziali. Tuttavia, è possibile rilevare la maggior

parte delle truffe di phishing progettata per sottrarre informazioni personali e

prevenire i danni spesso devastanti che possono creare. Una violazione di dati

può devastare un'azienda: spesso comporta costosi audit di sicurezza, sanzioni e

perdita di fiducia da parte degli stakeholder. Il vorticoso aumento delle violazioni

di dati di alto profilo sottolinea l'importanza di rivedere le strategie di sicurezza

attuali e implementare pratiche unificate in ambienti di rete, cloud e dispositivi

mobili per prevenire la prossima violazione. Le moderne applicazioni cloud

introducono nuove sfide di sicurezza per gli sviluppatori, che devono impedire che

il codice trapeli ed evitare altre potenziali violazioni disastrose.

In questa sezione offriamo ai professionisti della sicurezza alcuni consigli pratici

in grado di fare la differenza tra diventare parte delle statistiche sulle vittime di

crimini informatici e prevenire il prossimo attacco.

C A P I T O L O 8

87CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 87

COME PRE VENIRE GLI AT TACCHI R ANSOMWARE

Sono diverse le misure che un'azienda può adottare per minimizzare esposizione e

potenziale impatto di un attacco ransomware.

1. Effettuare backup dei dati regolarmente

L'obiettivo di un ransomware è indurre la vittima a pagare un riscatto per rientrare in possesso dei propri dati crittografati. Tuttavia, questa strategia funziona solo se il bersaglio perde effettivamente l'accesso ai propri dati. Una soluzione di backup dei dati solida e sicura è un metodo efficace per mitigare l'impatto di un attacco ransomware. Effettuando regolarmente il backup dei sistemi, i dati persi in un attacco ransomware sono pochi o nulli. Tuttavia, è importante garantire che la soluzione di backup dei dati non possa essere a sua volta crittografata. Per prevenire la diffusione del ransomware nelle unità contenenti i dati di ripristino è necessario archiviare i dati in formato di sola lettura.

2. Offrire formazione e sensibilizzazione sulla sicurezza informatica

Le e-mail di phishing sono uno dei metodi più comuni per diffondere ransomware. Inducendo gli utenti con l'inganno ad aprire un link o un allegato malevolo, i criminali informatici possono accedere al computer dei dipendenti e avviare il processo di installazione ed esecuzione del programma ransomware. Considerata la scarsità globale di esperti in sicurezza informatica nelle aziende di tutto il mondo, per proteggersi dai ransomware è fondamentale svolgere con frequenza eventi formativi di sensibilizzazione alla cybersicurezza, in modo da trasformare lo staff

nella prima linea di difesa per garantire un ambiente protetto. La formazione per i

dipendenti deve insegnare a:

• Non aprire link malevoli

• Non aprire mai allegati non attesi o non affidabili

• Non rivelare dati personali o sensibili in risposta alle e-mail di phishing

• Verificare la legittimità dei software prima di scaricarli

• Non collegare mai una chiavetta USB sconosciuta al PC

• Utilizzare una VPN per connettersi da Wi-Fi pubblici o non affidabili

C A P I T O L O 8

88CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 88

3. Applicare patch aggiornate

WannaCry, una delle varianti ransomware più famose in circolazione, è un esempio di worm ransomware. Anziché utilizzare le e-mail di phishing o il protocollo RDP (Remote Desktop Protocol) per accedere ai sistemi target, WannaCry si diffonde sfruttando una vulnerabilità presente nel protocollo SMB (Server Message Block) di Windows. Al momento del famigerato attacco WannaCry nel maggio 2017, già esisteva una patch per la vulnerabilità EternalBlue sfruttata dal worm. La patch, disponibile un mese prima dell'attacco, era indicata come "critica" per via dell'elevato potenziale per lo sfruttamento. Tuttavia, molte aziende e utenti non hanno applicato la patch in tempo, provocando un'epidemia ransomware che ha infettato 200.000 computer nell'arco di tre giorni. Tenere i computer aggiornati e applicare patch di sicurezza, soprattutto quelle contrassegnate come critiche, aiuta a ridurre la vulnerabilità agli attacchi ransomware delle aziende, che spesso ignorano o applicano troppo tardi le patch che garantiscono la protezione necessaria.

4. Rafforzare l'autenticazione utente

In genere i criminali informatici utilizzano il protocollo RDP (Remote Desktop Protocol) e strumenti simili per accedere da remoto ai sistemi aziendali, indovinando o rubando le credenziali di accesso. Una volta penetrato nella macchina, l'hacker può rilasciare un ransomware ed eseguirlo, crittografando i file al suo interno. Questo potenziale vettore di attacco può essere neutralizzato con un sistema di autenticazione più avanzato. Obbligare all'uso di password complesse e autenticazione a più fattori e formare i dipendenti sugli attacchi di phishing atti a rubare le credenziali di accesso sono componenti fondamentali della strategia di sicurezza informatica di un'azienda. 5. Adottare soluzioni anti-ransomware Sebbene le suddette strategie per evitare i ransomware possano contribuire a mitigare l'esposizione di un'azienda alle minacce ransomware, non forniscono protezione completa. Alcuni operatori ransomware utilizzano come vettore di attacco e-mail di spear-phishing altamente mirate e frutto di attente ricerche. Queste e-mail sono in grado di ingannare anche i dipendenti più attenti, causando la penetrazione del ransomware nei sistemi aziendali interni. Per proteggersi da questo ransomware "sfuggevole" serve una soluzione di sicurezza specializzata. Per andare a segno, il ransomware deve eseguire alcune azioni anomale, come

C A P I T O L O 8

89CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 89

aprire e crittografare un gran numero di file. Le soluzioni anti-ransomware monitorano i programmi in esecuzione sul PC per rilevare comportamenti sospetti normalmente adottati dai ransomware e, in caso di rilevamento, eseguire azioni per bloccare il processo di crittografia prima che causi ulteriori danni.

6. Adottare una soluzione di prevenzione delle minacce migliore

La maggior parte degli attacchi ransomware può essere rilevata e risolta prima

che sia troppo tardi. Per ottimizzare la protezione aziendale è necessario disporre

delle misure di rilevamento e prevenzione delle minacce automatizzate.

• Analisi e monitoraggio delle e-mail: le e-mail sono il vettore più comune

scelto dai criminali informatici per gli attacchi di phishing. Dedica ogni giorno

del tempo all'analisi e al monitoraggio delle e-mail e considera l'uso di una

soluzione di sicurezza per e-mail automatizzata per bloccare i messaggi

dannosi e impedire che arrivino nella posta.

• Analisi e monitoraggio dell'attività sui file: un'altra buona prassi è analizzare

e monitorare le attività sui file. Imposta avvisi per il rilevamento di file sospetti

prima che diventino una minaccia.

A T T A C C H I

C A P I T O L O 8

90CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 90

COME PRE VENIRE GLI AT TACCHI DI PHISHING

1. Prestare attenzione al linguaggio utilizzato nell'e-mail

Le tecniche di ingegneria sociale sono progettate per approfittarsi della natura

umana: siamo più inclini a compiere errori quando abbiamo fretta e tendiamo a

seguire gli ordini se provengono dalle autorità. In genere gli attacchi di phishing

sfruttano tali tecniche per persuadere le vittime a ignorare i potenziali sospetti su

un'e-mail e aprire un link o un allegato. Tra le tecniche di phishing comuni:

• Ordini e consegne fasulli: le e-mail di phishing sembrano provenire da brand

legittimi (Amazon, FedEx ecc.) che informano la vittima sul piazzamento di un

ordine o un'imminente consegna. Quando la vittima apre il link per annullare

l'ordine o la consegna non autorizzati, il sito Web (che appartiene al criminale

informatico) richiede l'autenticazione, permettendo all'hacker di rubare le

credenziali di accesso.

• Truffe BEC (Business Email Compromise): le truffe BEC sfruttano la

gerarchia e l'autorità all'interno di un'azienda. Gli hacker impersonano il

CEO o altri dirigenti di alto livello per ordinare azioni al destinatario dell'e-

mail, come inviare denaro a un determinato conto bancario (appartenente al

truffatore).

• Finte fatture: l'autore dell'attacco di phishing finge di essere un fornitore

legittimo che sollecita il pagamento di una fattura insoluta. L'obiettivo finale

della truffa è far sì che la vittima trasferisca denaro sul conto bancario del

criminale o diffondere malware tramite documenti dannosi.

C A P I T O L O 8

91CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 91

2. Non condividere mai le credenziali

Il furto di credenziali è un obiettivo comune degli attacchi informatici. Poiché

molti utilizzano lo stesso nome utente e password per più account, per un hacker

sottrarre le credenziali di un singolo account equivale ad avere accesso a diversi

account utente.

Di conseguenza, gli attacchi di phishing sono progettati per rubare le credenziali

di accesso in vari modi, tra cui:

• Siti di phishing: gli hacker creano siti fasulli simili agli originali chiedendo

all'utente di autenticarsi tramite un link nell'e-mail di phishing. Presta

attenzione ai link che non reindirizzano al sito previsto.

• Malware per il furto di credenziali: non tutti gli attacchi che mirano alle

credenziali sono diretti. Alcune e-mail di phishing contengono malware, come

keylogger o Trojan, progettati per intercettare la digitazione delle password

nel computer.

• Truffe del supporto clienti: i criminali informatici possono fingersi specialisti

del supporto clienti di Microsoft, Apple e aziende simili e chiedere alla vittima

di effettuare l'accesso per "aiutarla" con il computer.

3. Sospettare sempre delle e-mail di ripristino delle password

Le e-mail per il ripristino delle password aiutano l'utente che non ricorda come

accedere al proprio account. Facendo clic su un link è possibile ripristinare la

password e sceglierne una nuova. Non conoscere la password è, ovviamente,

anche il problema dei criminali informatici che provano ad accedere agli account

delle vittime. Inviando una finta e-mail di ripristino password che reindirizza a un

sito di phishing fasullo, convincono la vittima a digitare e inoltrare le credenziali

di accesso all'account. Se ricevi un'e-mail indesiderata per il ripristino della

password, visita sempre il sito Web ufficiale (senza aprire il link incorporato) e

modifica la password da lì (e da qualsiasi altro sito dove utilizzi la stessa).

C A P I T O L O 8

92CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 92

4. Informare i dipendenti sulle attuali minacce di phishing

Gli attacchi di phishing sfruttano la natura umana per indurre con l'inganno le

vittime a compiere azioni. Tra le comuni tecniche utilizzate vi è il creare un senso

di urgenza e offrire al destinatario dell'e-mail qualcosa che desidera, aumentando

in tal modo la possibilità che il bersaglio agisca senza controllare attentamente

l'e-mail.

Gli attacchi di phishing spesso approfittano degli eventi di attualità o impersonano

brand affidabili per sembrare più realistici. Offrendo informazioni, prodotti

o opportunità legate a un evento attuale o creando situazioni potenzialmente

problematiche per la vittima (come la notifica di consegna di un finto pacco),

queste e-mail aumentano la possibilità di adescare vittime.

Le tecniche di phishing e i pretesti avanzati dai criminali per rendere gli attacchi

realistici cambiano continuamente. È necessario informare i dipendenti sugli

attuali trend di phishing per aumentare le loro chance di identificare gli attacchi di

questo tipo e reagire adeguatamente.

5. Implementare una soluzione anti-phishing automatizzata

Nonostante gli sforzi di un'organizzazione, formare i dipendenti sulla sicurezza informatica non garantisce protezione completa dagli attacchi di phishing, che diventano sempre più sofisticati e, in alcuni casi, ingannano perfino gli esperti del settore. Sebbene conoscere il phishing possa contribuire a ridurre il numero di attacchi riusciti contro l'azienda, alcune e-mail riusciranno nell'impresa.

Minimizzare il rischio degli attacchi di phishing contro l'azienda richiede software anti- phishing basati su AI in grado di identificare e bloccare i contenuti di phishing in tutti i servizi di comunicazione (e-mail, app di produttività ecc.) e le piattaforme aziendali (postazioni dei dipendenti, dispositivi mobili ecc.). La necessità di una copertura completa deriva dal fatto che i contenuti di phishing possono essere distribuiti tramite vettori diversi e i dipendenti potrebbero essere più vulnerabili agli attacchi quando usano dispositivi mobili.

Contattaci per maggiori informazioni sulla protezione contro gli attacchi di phishing e per richiedere una demo privata per capire come le soluzioni di sicurezza e-mail di Check Point possono aiutare la tua azienda a identificare e bloccare gli attacchi di phishing.

C A P I T O L O 8

93CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 93

COME PRE VENIRE GLI AT TACCHI ZERO-DAY

Prevenzione delle minacce in tutta l'organizzazione

• La threat intelligence fornisce le informazioni necessarie al rilevamento degli attacchi zero-day. Per proteggersi sono necessarie soluzioni in grado di tradurre l'intelligence in azioni che impediscano il successo degli attacchi.

Check Point ha sviluppato oltre sessanta motori di prevenzione delle minacce che sfruttano la threat intelligence di ThreatCloud per la prevenzione degli attacchi zero-day. Tra le principali funzionalità di prevenzione delle minacce:

• Ispezione del livello di CPU: Per eludere le difese integrate nelle CPU, i criminali informatici ricorrono in genere alla programmazione orientata al ritorno (ROP). L'ispezione del livello di CPU consente di identificare i tentativi di elusione di protezione dello spazio eseguibile e firme del codice, bloccando l'attacco prima che il codice dannoso venga scaricato ed eseguito.

• Emulazione delle minacce ed estrazione: l'analisi dei contenuti sospetti in un ambiente sandbox aiuta a rilevare i malware prima che si diffondano nel sistema target. Ciò consente di bloccare i malware o di eliminare i contenuti dannosi da un documento prima della consegna.

• Analisi del DNA dei malware: per sviluppare nuove campagne di attacco, gli autori dei malware in genere sviluppano ulteriormente, ritoccano o si ispirano ai propri codici. Questo significa che i nuovi exploit spesso includono comportamenti e codici delle precedenti campagne, che possono essere utilizzati per rilevare le ultime varianti dell'attacco.

• Soluzioni anti-bot e anti-exploit: i moderni attacchi informatici spesso dipendono fortemente da macchine compromesse da usare come parte di una botnet. Dopo aver identificato una macchina compromessa, le aziende possono isolarla e bloccare il traffico correlato ai bot per arrestare la diffusione del malware.

• Rilevazione delle campagne: i malware dipendono dall'infrastruttura di backend dell'autore dell'attacco per comandi e controlli. Utilizzando una soluzione di emulazione delle minacce ed estrazione, Check Point può identificare nuovi comandi e domini di controllo utilizzati dai malware e sfruttare le informazioni per rilevare altre istanze della campagna di attacco.

C A P I T O L O 8

94CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 94

• Protezione dell'identità: con l'adozione crescente delle applicazioni SaaS (Software-as-a-Service), gli attacchi di acquisizione degli account stanno diventando sempre più comuni. L'analisi comportamentale e il rilevamento delle anomalie consentono di identificare e bloccare i tentativi di attacco anche se l'autore della minaccia ha le credenziali corrette.

Consolidamento della sicurezza

Molte organizzazioni fanno affidamento su più soluzioni di sicurezza indipendenti e scollegate. Sebbene possano essere efficaci nella protezione contro una data minaccia, riducono l'efficacia del team di sicurezza aziendale sovraccaricandolo di dati e costringendolo a configurare, monitorare e gestire molte soluzioni diverse. Come risultato dell'eccessivo carico di lavoro, il team di sicurezza potrebbe lasciarsi sfuggire avvisi critici.

Una piattaforma di sicurezza unificata è fondamentale per prevenire gli attacchi zero-day. Una soluzione unica che offra visibilità e controllo sull'intero ecosistema IT aziendale fornisce contesto e informazioni necessarie per l'identificazione di un attacco informatico. Inoltre, la capacità di rispondere in modo coordinato e automatizzato in tutta l'infrastruttura aziendale è fondamentale per prevenire le rapide campagne di attacchi zero-day.

Threat intelligence sempre aggiornata

I moderni attacchi informatici sono diffusi e automatizzati. Un attacco zero-day è indirizzato a molte diverse organizzazioni e sfrutta il poco tempo che intercorre tra l'individuazione delle vulnerabilità e il rilascio delle patch.

Per proteggersi contro questo tipo di attacco su larga scala è necessaria una threat intelligence di alta qualità. Se un'azienda subisce un attacco, i dati raccolti possono essere fondamentali per le altre aziende che tentano di rilevare e bloccare l'attacco. Tuttavia, la velocità e il volume delle moderne campagne di attacco rendono la condivisione manuale delle informazioni sulle minacce troppo lenta per essere efficace.

ThreatCloud di Check Point è il database di threat intelligence più ampio al mondo. ThreatCloud sfrutta l'intelligenza artificiale (AI) per creare dai dati forniti informazioni preziose su potenziali attacchi e vulnerabilità sconosciute. L'analisi di oltre 86 miliardi di transazioni giornaliere degli oltre 100.000 clienti di Check Point fornisce la visibilità necessaria per identificare le campagne di attacchi zero-day.

C A P I T O L O 8

95CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 9595CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2022 95CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023

COME PRE VENIRE LE VIOL A ZIONI

1

2

3

4

5

6

7

8

EDUCAZIONE E

FORMAZIONE Per prevenire le violazioni è necessario anzitutto educare e formare la forza lavoro affinché adotti precauzioni di sicurezza.

PASSWORD SICURE Creare una password sicura e cambiarla con frequenza per prevenire gli accessi non autorizzati.

LIMITAZIONE

DELL'ACCESSO AI DATI Riducendo la possibilità di trasferire dati da un dispositivo all'altro, si riduce il rischio che finiscano nelle mani sbagliate.

ANALISI DEI FORNITORI DI TERZE PARTI Analizzare i fornitori di terze parti per verificare che dispongano degli adeguati protocolli di sicurezza per prevenire l'intrusione degli hacker nella rete.

CRITTOGRAFIA DI COMPUTER E DISPOSITIVI La regolamentazione dei computer e dei dispositivi tramite cui i dipendenti accedono ai dati aziendali può essere notevolmente ridotta con l'uso esclusivo di dispositivi crittografati.

CREAZIONE DI UN CLOUD INTERNO Un modo per prevenire l'accesso libero ai dati sensibili è creare un cloud interno a cui possano accedere solo gli utenti autorizzati.

AGGIORNAMENTO DELLE PASSWORD Implementare aggiornamenti delle password e sistemi di autenticazione a due fattori aiuta a limitare il problema. Misure di sicurezza aggiuntive, come la limitazione dell'accesso ai siti Web dai dispositivi aziendali, le modifiche frequenti delle password, gli aggiornamenti dei software di sicurezza e il monitoraggio dell'accesso ai dati, possono ridurre significativamente il rischio di violazioni.

AGGIORNAMENTO DEI SOFTWARE Aggiornare i software di sicurezza con frequenza contribuisce a colmare le falle nella sicurezza. L'aggiornamento è fondamentale.

C A P I T O L O 8

96CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 96

PREVENZIONE DEGLI ERRORI

Mitiga la fuga di segreti causata da cattiva

gestione delle credenziali ed errori umani,che

può avere effetti devastanti.

INTEGRAZIONE CON L'INFRASTRUTTURA CLOUD ESISTENTE

CloudGuard Spectral si integra con tutti i

sistemi CI leader grazie al supporto integrato

per Jenkins, Azure e altri.

RILEVAMENTO CONCOMITANTE AL PRE-COMMIT

Quando si lavora con Git è fondamentale

impiegare il nostro pre-commit Husky e hook

personalizzati per automatizzare il rilevamento

precoce degli errori.

INSTALLAZIONE DEI PLUG-IN PER SISTEMI BUILD

È possibile eseguire scansioni durante le build

statiche grazie ai plugin nativi per JAMStack,

Webpack, Gatsby, Netlify e altro.

Gli strumenti automatizzati di CloudGuard

Spectral si integrano con gli strumenti degli

sviluppatori per rilevare le vulnerabilità nel

codice prima dell'implementazione, prevenendo

l'uso non autorizzato da parte di attori malevoli.

Con CloudGuard Spectral le organizzazioni

possono prevenire l'esposizione di chiavi API,

token e credenziali, nonché correggere le

configurazioni di sicurezza errate.

Gli attacchi alla supply chain sfruttano i

rapporti di fiducia tra aziende e collaboratori

esterni: può trattarsi di partnership, rapporti

di fornitura o uso di software di terze

parti. Gli attori delle minacce informatiche

compromettono un'organizzazione per poi

risalire la supply chain, sfruttando i rapporti

di fiducia per accedere agli ambienti di altre

organizzazioni.

Poiché negli ultimi anni frequenza e impatto

di questi attacchi sono aumentati, per gli

sviluppatori è fondamentale assicurarsi di

agire in sicurezza, verificando ogni software

utilizzato e specialmente quelli scaricati da

repository diversi, in particolare quelli non

creati personalmente.

Tra le migliori soluzioni di sicurezza da codice

a cloud, Check Point CloudGuard offre una

piattaforma di sicurezza unificata e nativa del

cloud per applicazioni, carichi di lavoro e reti

che consente di automatizzare la sicurezza,

prevenire le minacce e gestire i profili, il tutto

con velocità e scalabilità del cloud. CloudGuard

Spectral è una piattaforma di sicurezza

del codice destinata agli sviluppatori che

monitora, classifica e protegge codici, asset e

infrastrutture in modo semplice.

Per la scalabilità di questo processo,

l'automazione è fondamentale.

C A P I T O L O 8

97CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023

C A P I T O L O 9

DESCRIZIONE DELLE FAMIGLIE DI MALWARE

98CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023

AcidRain AcidRain è un malware distruttivo che colpisce i modem Viasat, segnalato il 24 febbraio 2022. Concomitante con l'invasione dei territori ucraini a opera della Russia, l'attacco AcidRain ai sistemi di comunicazione satellitari ha causato perturbazioni diffuse interrompendo la fornitura di servizi in Ucraina.

AgentTesla AgentTesla è un Trojan di accesso remoto (RAT, Remote Access Trojan) dotato di funzioni per la registrazione delle pressioni di tasti e il furto delle password, attivo fin dal 2014. AgentTesla è in grado di monitorare e registrare il contenuto degli Appunti di sistema e l'input della tastiera delle vittime, oltre che di catturare le schermate ed esfiltrare le credenziali di una vasta gamma di prodotti software installati nei sistemi degli utenti, come i client e-mail Google Chrome, Mozilla Firefox e Microsoft Outlook. AgentTesla è in vendita in diversi mercati online e forum per gli hacker.

AlienBot AlienBot è un Trojan bancario per Android che viene venduto underground sotto forma di Malware-as-a-Service (MaaS). Supporta la registrazione delle pressioni dei tasti e gli overlay dinamici per i furti di credenziali, oltre alla raccolta degli SMS per l'elusione dell'autenticazione a due fattori (2FA). È inoltre in grado di acquisire capacità di controllo remoto sfruttando un modulo di TeamViewer.

Anubis Anubis è un malware Trojan bancario progettato per i cellulari Android. Da quando è stato scoperto ha aggiunto ulteriori capacità, come funzionalità Trojan di accesso remoto (RAT, Remote Access Trojan), keylogger, registrazione audio e varie caratteristiche del ransomware. È stato rilevato in centinaia di applicazioni diverse disponibili nel Google Store.

AZORult AZORult è un Trojan capace di raccogliere ed esfiltrare dati dai sistemi infetti. Una volta installato nel sistema, il malware può inviare password salvate, file locali, dati dei wallet di criptovaluta e informazioni sui profili del computer a un server C&C remoto. Il builder Gazorp, disponibile nel Dark Web, permette a chiunque di ospitare un server C&C Azorult con un impegno minimo.

Azov Azov è un data wiper segnalato per la prima volta a novembre 2022 e diffuso principalmente tramite il malware SmokeLoader. La nota del riscatto rilasciata nei sistemi delle vittime punta il dito su ricercatori e politici per i conflitti in Ucraina.

C A P I T O L O 9

99CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023

Bazar Scoperti nel 2020, Bazar Loader e Bazar Backdoor vengono utilizzati nelle fasi iniziali delle infezioni diffuse dalla gang di criminali informatici WizardSpider. Il caricatore prepara il terreno per le fasi successive, mentre la backdoor ha lo scopo di garantire la persistenza. Le infezioni sono solitamente seguite da un deployment ransomware in tutto l'ambiente, tramite Conti o Ryuk.

BlackMatter BlackMatter è un ransomware che opera secondo un modello RaaS. Il malware, attivo dal 2021, ha già colpito diverse infrastrutture critiche statunitensi. BlackMatter è probabilmente frutto del rebranding del ransomware DarkSide.

Bumblebee BumbleBee è un nuovo caricatore attivo dall'inizio del 2022 e utilizzato per diffondere altri payload. I payload di Bumblebee variano notevolmente in base al tipo di bersaglio. I computer autonomi vengono colpiti da Trojan bancari o infostealer, mentre le reti delle organizzazioni da strumenti più avanzati post-exploit, come CobaltStrike.

Conti Il ransomware Conti è comparso nel 2020 e, da allora, è stato utilizzato in diversi attacchi ai danni delle aziende di tutto il mondo. Questo ransomware viene introdotto come fase finale, dopo un'intrusione riuscita nella rete delle vittime. L'intrusione iniziale può avvenire tramite campagne di spear-phishing, credenziali RDP deboli o rubate o campagne di ingegneria sociale telefoniche.

CryWiper CryWiper è un malware di data wiping camuffato da ransomware, utilizzato nel 2022 per attaccare gli enti del settore pubblico russo. Nonostante le richieste di riscatto riportate nella nota, i file crittografati da CryWiper non possono essere ripristinati.

Cl0p Cl0p è un ransomware scoperto per la prima volta all'inizio del 2019, che colpisce soprattutto grandi imprese e multinazionali. Nel corso del 2020 gli operatori di Cl0p hanno iniziato a utilizzare una strategia di doppia estorsione in cui, oltre a crittografare i dati della vittima, gli hacker minacciano anche di pubblicare le informazioni rubate se la loro richiesta di riscatto non viene soddisfatta. Nel 2021 il ransomware Cl0p è stato utilizzato per numerosi attacchi, in cui l'accesso iniziale veniva ottenuto sfruttando le vulnerabilità zero-day dell'appliance Accellion File Transfer.

C A P I T O L O 9

100CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023

Dracarys Dracarys è un infostealer per Android scoperto nel 2022, utilizzato dal gruppo Bitter APT per sottrarre contatti, messaggi, log di chiamate, screenshot e altro.

Dridex Dridex è un Trojan bancario trasformato in botnet che attacca la piattaforma Windows. Distribuito tramite campagne spam e kit di exploit, utilizza WebInjects per intercettare e reindirizzare le credenziali bancarie verso un server controllato dall'autore dell'attacco. Dridex contatta un server remoto, invia informazioni sul sistema infetto ed è anche in grado di scaricare ed eseguire ulteriori moduli per il controllo remoto.

Dustman/ZeroCleare Dustman è un wiper rilevato per la prima volta a dicembre 2019 che colpisce le entità del Medio Oriente. Dustman è una variante del wiper ZeroCleare simile al malware Shamoon a livello di codice.

Emotet Emotet è un avanzato Trojan modulare capace di propagarsi autonomamente. Inizialmente utilizzato come Trojan bancario, viene attualmente impiegato per distribuire altro malware o campagne dannose. Si avvale di diversi metodi per garantire la persistenza e di tecniche di evasione per evitare il rilevamento. Emotet è inoltre in grado di diffondersi tramite messaggi e-mail spam di phishing contenenti allegati o collegamenti dannosi.

FormBook FormBook è un Infostealer che attacca il sistema operativo Windows, rilevato per la prima volta nel 2016. Per le sue efficaci tecniche di evasione e il prezzo relativamente contenuto, viene commercializzato come Malware-as-a-Service (MaaS) nei forum underground per gli hacker. FormBook raccoglie le credenziali da vari browser Web, cattura schermate, monitora e registra le pressioni dei tasti ed è anche in grado di scaricare ed eseguire file, rispondendo agli ordini del suo server C&C.

Glupteba Noto fin dal 2011, Glupteba è una backdoor di Windows che è gradualmente maturata fino a diventare una botnet. Nel 2019 includeva già un meccanismo di aggiornamento dell'indirizzo C&C tramite elenchi di BitCoin pubblici, una funzionalità stealer integrabile nel browser e un exploit per il router.

GuLoader GuLoader è un downloader segnalato per la prima volta nel 2019. Da allora è stato utilizzato per distribuire vari malware, tra cui Lokibot, NanoCore, Formbook, Azorult, Remcos e altri.

C A P I T O L O 9

101CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023

HermeticRansom A inizio 2022, il malware HermeticRansom è stato impiegato per distrarre le vittime durante il lancio di attacchi HermeticWiper contro le organizzazioni ucraine. Gli attacchi mettevano fuori uso i dispositivi e, perciò, erano di natura distruttiva e non mossi da ragioni economiche.

HermeticWiper HermeticWiper è un malware distruttivo segnalato per la prima volta a gennaio 2022 e utilizzato per colpire le organizzazioni ucraine. Il malware, simile a WhisperGate, fa parte della serie di malware di categoria wiping che hanno colpito le organizzazioni ucraine durante il conflitto con la Russia.

Hiddad È un malware per Android che ricrea i pacchetti delle app legittime per poi rilasciarli in uno store di terze parti. Viene utilizzato soprattutto per visualizzare annunci, ma è anche in grado di ottenere accesso alle principali informazioni di sicurezza integrate nel sistema operativo.

Hive Il ransomware Hive, comparso nel giugno 2021, utilizza vari meccanismi per compromettere le reti aziendali, inclusi messaggi e-mail di phishing con allegati dannosi per ottenere l'accesso e il protocollo RDP (Remote Desktop Protocol) per spostarsi lateralmente una volta penetrato nella rete. Hive utilizza sia la crittografia che l'esfiltrazione dei dati e opera come "leak site" tramite la rete Tor.

Hydra Hydra è un Trojan bancario per Android scoperto nel 2019 e distribuito tramite applicazioni infette su Google Play Store.

IcedID IcedID è un Trojan bancario comparso per la prima volta nel settembre 2017. Si diffonde tramite campagne e-mail spam e utilizza spesso altri malware, come Emotet, per proliferare. IcedID, che utilizza tecniche elusive come la steganografia e l'iniezione di processi, ruba i dati finanziari degli utenti tramite attacchi di reindirizzamento (installa un proxy locale per reindirizzare gli utenti a siti falsi clonati) e di iniezione Web.

Joker Joker, un malware per dispositivi mobili Android noto dal 2017, è uno stealer in grado di accedere a SMS, rubriche di contatti e informazioni sul dispositivo. Joker genera introiti principalmente tramite gli abbonamenti non autorizzati a servizi premium a pagamento.

C A P I T O L O 9

102CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023

Kinsing Scoperto nel 2020, Kinsing è un cryptominer Golang con un componente rootkit. Originariamente progettato come exploit per i sistemi Linux, Kinsing veniva installato nei server compromessi sfruttando le vulnerabilità dei servizi accessibili da Internet. Nel 2021 è stata sviluppata anche una variante del malware per Windows, che permette agli hacker di incrementare le superficie di attacco.

LemonDuck LemonDuck è un cryptominer scoperto nel 2018, che attacca i sistemi Windows. Utilizza tecniche di propagazione avanzate, come l'invio di malspam, attacchi di forza bruta basati su RDP e sfruttamento in massa di vulnerabilità note, come BlueKeep. Con il tempo è stato visto raccogliere indirizzi e-mail e credenziali, oltre a diffondere altre famiglie di malware, come Ramnit.

LockBit LockBit, scoperto per la prima volta a settembre 2019, è un ransomware che opera secondo un modello RaaS. LockBit colpisce grandi aziende e governi di vari Paesi, astenendosi da vittime russe o di altri Stati indipendenti del Commonwealth.

LokiBot LokiBot è un infostealer commerciale per Windows. Raccoglie credenziali da una vasta gamma di applicazioni, browser Web, client e-mail e strumenti di amministrazione IT, quali PuTTY e molti altri. LokiBot veniva venduto nei forum di hacking e si ritiene che il suo codice sorgente sia trapelato, permettendo la creazione di una serie di varianti. È stato identificato per la prima volta nel febbraio 2016.

Mylobot Mylobot è una sofisticata botnet apparsa per la prima volta nel giugno 2018 e dotata di complesse tecniche di evasione, incluse quelle anti-VM, anti-sandbox e anti-debugging. Questa botnet consente all'autore dell'attacco di assumere il controllo completo del sistema dell'utente, scaricando quindi ulteriori payload dal suo server C&C.

NanoCore NanoCore è un Trojan di accesso remoto (RAT Access Trojan) che attacca gli utenti dei sistemi operativi Windows ed è stato inizialmente osservato in-the-wild nel 2013. Tutte le versioni di questo RAT contengono plug-in di base e funzionalità quali cattura di schermate, mining di criptovaluta, controllo remoto del desktop e furto di sessioni webcam.

C A P I T O L O 9

103CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023

njRAT njRAT, anche noto come Bladabindi, è un RAT sviluppato dal gruppo hacker M38dHhM. Scoperto per la prima volta nel 2012, è stato utilizzato principalmente per colpire bersagli in Medio Oriente.

Pegasus Pegasus è uno spyware estremamente sofisticato, sviluppato dal gruppo israeliano NSO, che attacca i dispositivi mobili Android e iOS. Questo malware viene offerto in vendita soprattutto a grandi imprese e organizzazioni parastatali. Pegasus è in grado di sfruttare vulnerabilità che gli consentono di eseguire il jailbreak di un dispositivo senza farsi notare per installare il malware.

Phobos Phobos è un ransomware rilevato per la prima volta nel dicembre 2018. Colpisce i sistemi operativi Windows e il suo vettore di attacco spesso prevede lo sfruttamento di porte RDP aperte o scarsamente protette. Phobos somiglia moltissimo al ransomware Dharma, sia per la richiesta di riscatto che per gran parte del codice, infatti si ritiene che sia stato sviluppato e utilizzato dallo stesso gruppo.

Phorpiex Phorpiex è una botnet attiva dal 2010, che nel suo momento di massima virulenza controllava un milione di host infetti. È nota per distribuire altre famiglie di malware tramite campagne spam, oltre che per dare origine a campagne di estorsione a sfondo sessuale e spam su vasta scala.

Ponystealer PonyStealer è un infostealer utilizzato per sottrarre password da numerosissime applicazioni tra cui VPN, client FTP, programmi e-mail, strumenti di messaggistica istantanea e browser Web.

Qbot Qbot, noto anche come Qakbot, è un Trojan bancario apparso per la prima volta nel 2008. È progettato per rubare le credenziali bancarie e le pressioni dei tasti degli utenti. Spesso distribuito tramite messaggi e-mail spam, Qbot impiega diverse tecniche anti-VM, anti-debugging e anti-sandbox per ostacolare l'analisi ed eludere il rilevamento.

Quantum Quantum è un ransomware che opera secondo un modello RaaS. Il malware, scoperto nel 2021, ha già colpito diverse organizzazioni sanitarie. Gli investigatori collegano Quantum agli ex-attori del gruppo Conti.

C A P I T O L O 9

104CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023

Raccoon L'infostealer Raccoon è stato osservato per la prima volta nell'aprile 2019. Attacca i sistemi Windows e viene venduto come MaaS (Malware-as-a-Service) nei forum underground. È un semplice infostealer capace di raccogliere cookie, cronologia e credenziali di accesso del browser, wallet di criptovaluta e informazioni sulle carte di credito.

Ramnit Ramnit è un Trojan bancario modulare scoperto inizialmente nel 2010. Ramnit ruba informazioni sulle sessioni Web, permettendo agli operatori di impossessarsi delle credenziali degli account per tutti i servizi utilizzati dalla vittima, come conti bancari, account aziendali e account di social network. Questo Trojan utilizza sia domini hardcoded, sia domini generati da un algoritmo DGA (Domain Generation Algorithm) per contattare il server C&C e scaricare moduli aggiuntivi.

RansomEXX RansomEXX è un ransomware che opera secondo il modello RaaS nelle varianti Windows e Linux. Il malware è attivo dal 2020 e colpisce soprattutto le grandi aziende.

Raspberry Robin Raspberry Robin è un malware multifunzione distribuito inizialmente tramite dispositivi USB infetti con funzionalità worm.

RedLine Stealer RedLine Stealer è un infostealer molto in voga, osservato per la prima volta nel marzo 2020. Venduto come MaaS (Malware-as-a-Service) e spesso distribuito tramite allegati e-mail dannosi, presenta tutte le capacità di un moderno infostealer, come la raccolta di informazioni dai browser Web (dati delle carte di credito, cookie di sessione e informazioni di completamento automatico), raccolta di wallet di criptovalute, download di ulteriori payload e molto altro ancora.

Remcos Remcos è un RAT apparso per la prima volta in-the-wild nel 2016. Questo Trojan si distribuisce tramite documenti Microsoft Office dannosi allegati a messaggi e-mail spam ed è progettato per eludere il meccanismo di sicurezza UAC di Microsoft Windows per eseguire malware con privilegi di alto livello.

C A P I T O L O 9

105CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023

REvil REvil (noto anche come Sodinokibi) è un Ransomware-as-a-Service che gestisce un programma di "affiliazione" ed è stato individuato per la prima volta in-the-wild nel 2019. REvil crittografa i dati nella directory dell'utente ed elimina le copie shadow di backup per ostacolarne il ripristino. Le affiliate REvil utilizzano anche varie tattiche per diffondere il malware, come campagne spam ed exploit dei server, oltre all'hackeraggio dei backend dei provider di servizi gestiti (MSP, Managed Service Provider) e alle campagne di malvertising che reindirizzano gli utenti al kit di exploit RIG.

Sharkbot Sharkbot ruba credenziali e informazioni bancarie dai dispositivi mobili Android. Questo malware induce le vittime a immettere le credenziali in finestre che riproducono i moduli legittimi per l'immissione delle credenziali. Quando un utente inserisce le sue credenziali in queste finestre, i dati compromessi vengono inviati a un server dannoso. Il malware implementa una funzionalità di geofencing per escludere gli utenti di Cina, India, Romania, Russia, Ucraina e Bielorussia. Sharkbot dispone di varie tecniche di evasione anti-sandbox.

Snake Keylogger Snake Keylogger è un keylogger/infostealer modulare basato su .NET. Apparso nel tardo 2020, è cresciuto rapidamente in popolarità tra i criminali informatici. Snake è in grado di registrare le pressioni dei tasti, catturare schermate, raccogliere credenziali e contenuti degli appunti. Supporta l'esfiltrazione dei dati rubati sia tramite i protocolli HTTP ed SMTP.

Somnia Somnia è un tipo di ransomware distribuito dal gruppo FRwL (From Russia with Love) contro gli enti ucraini nel novembre 2022. Alle vittime di Somnia non viene richiesto un riscatto per la decrittografia. L'obiettivo degli hacker non è ottenere profitti economici, ma distruggere i sistemi.

Stuxnet Stuxnet è un worm dannoso per computer scoperto nel 2010, che ha colpito e smantellato il programma nucleare iraniano. Ha causato danni fisici alle apparecchiature manipolando i sistemi di controllo industriali ed è il primo esempio pubblicamente noto di attacco informatico ai danni di uno Stato.

Triada Rilevato per la prima volta nel 2016, Triada è una backdoor modulare per Android che concede privilegi amministrativi per scaricare un altro malware. L'ultima versione viene distribuita tramite kit di sviluppo per l'adware in WhatsApp per Android.

C A P I T O L O 9

106CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023

Trickbot Trickbot è un Trojan bancario modulare attribuito alla gang di criminali informatici WizardSpider. Viene distribuito soprattutto tramite campagne spam o altre famiglie di malware, quali Emotet e BazarLoader. Oltre a inviare informazioni sui sistemi infetti, Trickbot è anche in grado di scaricare ed eseguire uno dei tantissimi moduli arbitrari disponibili, tra cui un modulo VNC per il controllo remoto e un modulo SMB per la diffusione all'interno di una rete compromessa. Dopo aver infettato un sistema, i responsabili delle minacce che controllano questo malware utilizzano la sua ampia gamma di moduli sia per rubare le credenziali bancarie dai PC colpiti, sia per effettuare spostamenti laterali e attività di perlustrazione dell'organizzazione target, prima di sferrare un attacco ransomware mirato esteso all'intera azienda.

Vidar Vidar è un infostealer che attacca i sistemi operativi Windows. Rilevato per la prima volta alla fine del 2018, è progettato per rubare password, dati delle carte di credito e altre informazioni sensibili da vari browser Web e wallet digitali. Vidar viene venduto in diversi forum online e utilizzato come dropper malware per scaricare il ransomware GandCrab come payload secondario.

WannaMine WannaMine è un sofisticato worm di cryptomining per la criptovaluta Monero, che si diffonde tramite l'exploit EternalBlue. WannaMine implementa un meccanismo di diffusione e tecniche di persistenza che sfruttano le sottoscrizioni degli eventi permanenti di Windows Management Instrumentation (WMI).

WhisperGate WhisperGate è un malware distruttivo segnalato per la prima volta a gennaio 2022 e utilizzato per colpire le organizzazioni ucraine. Il malware fa parte della serie di malware di categoria wiping che hanno colpito le organizzazioni ucraine durante il conflitto con la Russia. WhisperGate danneggia il settore di avvio principale dei sistemi visualizzando un falso messaggio ransom.

XMRig XMRig è un software open-source di mining della CPU utilizzato per estrarre la criptovaluta Monero. I responsabili delle minacce usano spesso questo software open-source per i propri scopi illeciti, integrandolo nel malware per estrarre informazioni illegalmente dai dispositivi delle vittime.

ZeroCleare ZeroCleare è un wiper malware distruttivo identificato per la prima volta a dicembre 2020. È stato utilizzato per la prima volta per attacchi mirati contro le organizzazioni del Medio Oriente ed è noto per la sua capacità di eludere i sistemi di rilevamento e cancellare dischi rigidi e sistemi di backup. Si ritiene che ZeroCleare sia frutto del lavoro di un gruppo hacker sovvenzionato dallo Stato.

C A P I T O L O 9

107CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023

C A P I T O L O 1 0

CONCLUSIONE

108CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023 108CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2022 108CHECK POINT SOF T WARE | REPORT SULL A SICUREZZA 2023

Mentre entriamo nel nuovo anno, è importante rivalutare i processi di

sicurezza informatica in atto per garantire che siano in grado di proteggere

dalle minacce esistenti indicate dai nostri esperti in questo report.

Senza dubbio si registrerà un aumento di attacchi basati su motivi

ideologici in risposta ai conflitti geopolitici, come già visto tra Russia e

Ucraina. Le minacce note, come i ransomware, continueranno a evolversi

e nuove vulnerabilità verranno sfruttate, specialmente considerando

i grandi progressi dell'AI generativa che semplifica la creazione degli

attacchi per gli attori delle minacce portando a nuovi tipi di violazioni e

attacchi informatici. I governi di tutto il mondo inaspriranno le leggi sul

crimine informatico per proteggere i cittadini, mentre le organizzazioni

dovranno consolidare e automatizzare l'infrastruttura IT e di sicurezza

per colmare il deficit di competenze informatiche, che si prevede in

ulteriore crescita quest'anno.

Sebbene gli attacchi informatici stiano nel complesso aumentando,

considerando l'aumento degli attacchi avanzati di 5° generazione

dell'ultimo anno, la maturazione delle soluzioni di difesa informatica

di oggi consente alle organizzazioni e alla società generale di adottare

soluzioni prevention-first per stroncare le minacce sul nascere.

Aziende e governi stanno rispondendo alle sofisticate minacce di

oggi e aumentando gli investimenti nelle strategie di sicurezza,

dato promettente ora che il mondo deve affrontare sfide ancor più

impegnative dovute all'imminente recessione e all'attesa evoluzione

di nuove pratiche malevoli e software dannosi. Solo il tempo potrà

mostrarci come evolverà quest'impennata di attacchi nel 2023.

C A P I T O L O 1 0

CONTATTI SEDE INTERNAZIONALE

5 Ha'Solelim Street, Tel Aviv 67897, Israele Telefono: 972-3-753-4555

SEDE STATUNITENSE 959 Skyway Road, Suite 300, San Carlos, CA 94070

Telefono: 800-429-4391 | 650-628-2000 SOTTO ATTACCO?

Contattate il nostro team di risposta agli incidenti: emergency-response@checkpoint.com

PODCAST DI CHECK POINT RESEARCH Sintonizzatevi su cp<radio> per scoprire i risultati delle ultime ricerche del CPR,

informazioni per gli addetti ai lavori e altri contenuti esclusivi.

Visitate il nostro sito all'indirizzo https://research.checkpoint.com/category/cpradio/

WWW.CHECKPOINT.COM

© 1994-2023 Check Point Software Technologies Ltd. Tutti i diritti riservati.